OpenVPN-DNS á hliðinu: dnsmasq og umfang eldveggjarins

Keyrðu dnsmasq á vistfang göngsins, leyfðu DNS aðeins frá biðlarahópnum, ýttu lausnaranum út og prófaðu svo beinar fyrirspurnir og eigin uppflettingu forritsins.

Biðlarar í göngunum ná hliðinu og hliðið nær innri lausnaranum, þannig að DNS ætti að virka. Það virkar ekki, því þetta eru tvö ólík leyfi og virk DNS-þjónusta er þriðji hluturinn. Hlustarinn verður að vera á vistfangi sem biðlararnir ná, eldveggurinn verður að leyfa fyrirspurnir á það vistfang og segja verður biðlaranum að nota það. Að opna göngin í báðar áttir leysir fyrstu tvö fyrir tilviljun og skilur þriðja eftir ógert.

Hlustarinn er staðbundin þjónusta með tvær áttir

Inn á við sendir biðlari fyrirspurn á vistfang hliðsins í göngunum á gátt 53. Út á við sendir dímoninn þá fyrirspurn áfram til uppstreymisþjónsins sem stilltur er. Báðir helmingar verða að virka og þeir bila á ólíka vegu.

Tímamörk sem biðlarinn tilkynnir og tímamörk sem sjást á hliðinu eru ekki sama bilunin.

Tengdu vistfang göngsins, ekki hvert vistfang

Sérstakt dnsmasq-tilvik fyrir þetta verk þarf skýrt hlustunarvistfang, bindistillingu sem þolir að göngin birtist eftir ræsingu og eitt skýrt uppstreymi. Þetta er minnsta útgáfan sem ég nota:

listen-address=127.0.0.1,10.90.0.1
bind-dynamic
no-resolv
no-hosts
server=192.168.50.53

bind-dynamic tengir einstök vistföng og ræður við það þegar tun0 birtist síðar, sem skiptir máli á vél þar sem VPN-þjónustan endurræsist. Að telja upp loopback heldur staðbundnum verkfærum gangandi án þess að bæta við opinberum hlustara. no-resolv kemur í veg fyrir að dímoninn erfi uppstreymi úr lausnarastillingum vélarinnar og no-hosts kemur í veg fyrir að þetta tilvik birti hosts-skrá hliðsins. Ekkert þessara valkosta veitir neinum leyfi til að spyrja þjónustuna.

Athugaðu hvort hlustari sé þegar til á gátt 53 áður en þú ræsir annan dímon, og notaðu stillingareiganda dreifingarinnar í stað villtrar skrár í röngu möppunni.

Leyfðu DNS-inntak, ekki gegnumferð um göngin

Eldveggsreglurnar sem gera þetta að verkum eru staðbundnar inntaksreglur sem takmarkast við tengi göngsins, biðlarahópinn, vistfang hliðsins og gátt 53. Tvær reglur, ein á hverja samskiptareglu, duga:

sudo ufw allow in on tun0 proto udp from 10.90.0.0/24 to 10.90.0.1 port 53
sudo ufw allow in on tun0 proto tcp from 10.90.0.0/24 to 10.90.0.1 port 53

DNS gengur yfir TCP jafnt sem UDP, svo regla einungis fyrir UDP lætur stór svör bila á þann hátt að það virðist slitrótt. Þetta eru ekki ufw route leyfi, og þau mega ekki verða breitt leyfi á tun0. Röðin skiptir jafn miklu máli og efnið: fyrri regla sem hendir öllu inntaki frá tun0 vinnur samt, og að bæta leyfi undir endanlegri höfnun skapar ekkert.

Ef DNS hliðsins er nú hluti hönnunarinnar skaltu endurskoða þá fyrri stefnu af ásettu ráði og skrá hvers vegna.

Uppstreymishelmingurinn er sér leið

Fyrirspurnir fara frá hliðinu af eigin vistfangi til uppstreymislausnarans, svo leið hliðsins og útstreymisstefna gagnvart þeim lausnara verða að leyfa skiptin. Það er önnur regla en sú sem hleypir biðlurum að hlustaranum og hún bilur með öðru einkenni.

Bættu ekki við ótakmörkuðu útstreymi ganga til að láta svör virka; rakin svör þurfa það ekki.

Ýttu valkostinum út og athugaðu svo afhendinguna

Þjónninn getur tilkynnt lausnarann til biðlara með útýttum valkosti. Það er valkostur, ekki fyrirmæli sem stýrikerfið verður að hlýða:

push "dhcp-option DNS 10.90.0.1"

Linux-biðlari á skipanalínu gæti þurft lausnarainnbyggingu tengistjórans og stýrt tæki gæti þurft uppfærða stjórnunarsniðmát. Staðfestu virka lausnarann á biðlaranum eftir tengingu í stað þess að gera ráð fyrir að ýtingunni hafi verið beitt. Þegar tveir gangverkar reyna að setja DNS samtímis fæst kapphlaup sem birtist sem blikkandi uppfletting.

Markmiðið er einn eigandi að lausnarastillingum biðlarans, og ýtingin er sá eigandi venjulega aðeins þegar vettvangur biðlarans er samþykkur.

Prófaðu það sem þú byggðir í raun

Spyrðu eitt einkaaðila fullgilt nafn og eitt leyft ytra nafn beint á móti vistfangi göngsins, yfir UDP og TCP. Endurtaktu svo um venjulegu uppflettileið forritsins.

Ef beinu fyrirspurnirnar virka og forritið bilar samt, þá er bilunin í afhendingunni en ekki á þjóninum:

  • Biðlarinn beitti aldrei útýtta valkostinum.
  • Annar lausnari var stilltur síðar og vann kapphlaupið.
  • Forritið notar eigið lausnarabókasafn eða svör í skyndiminni.

Ljúktu með því að staðfesta að uppruni utan samþykktra VPN-leiðar geti alls ekki notað hlustarann. Árangursrík uppfletting heimilar ekki vistfangið sem hún skilaði, svo haltu þessum tveimur spurningum aðskildum.

Tengdir greinar