WireGuard ýtir ekki DNS: þjónusta á einkarekin BIND-svæði

Handabandið ber lykla og leyfð IP, aldrei leysir. Hér er tilbúið einkarekið BIND 9 svæði ásamt biðlara stefnu fyrir hverja tengingu sem lætur það leysast.

Þú reistir WireGuard, göngin flytja umferð, og innra nafnið leysist enn ekki. Næsta skref er venjulega að leita að DNS-stillingu í WireGuard-stillingunum, eins og jafningi gæti ýtt leysi eins og sum önnur VPN gera. Það getur það ekki. Handabandið ber lykla, viðmótsföng og leyfð IP, og það hefur ekkert svið fyrir DNS-þjóna eða leitarsvæði. Stefna leysisins býr á biðlaranum, og þangað á viðgerðin heima.

Göngin og leysirinn eru aðskildir samningar

WireGuard er viljandi lítið. Það færir pakka fyrir föngin sem þú skráir og auðkennir jafningja; allt þar fyrir ofan er þín hönnun. OpenVPN getur ýtt dhcp-option DNS því stjórnrás þess ber stillingar, og sá munur hnekkir fólki sem flytur milli þeirra.

Virk göng segja þér því ekkert um nafnaleysingu. Biðlarinn getur haft fullkomna leið að 10.90.0.1 og samt sent fyrirspurnir sínar til opinbers leysis, og þess vegna lítur einkennið út eins og “VPN-ið braut DNS” þó DNS hafi aldrei verið beint að VPN-inu.

Þjónaðu svæðinu án þess að verða endurkvæmur leysir

Þjónustuhliðin er lítið valdssvæði, ekki almennur leysir. Í þessu dæmi er hliðið 10.90.0.1, biðlararnir eru 10.90.0.0/24, og forritið sem þér er ammeð er að svara á 10.60.0.20.

Sameinaðu þessar stillingar í núverandi options blokk í stað þess að búa til aðra:

options {
    listen-on { 127.0.0.1; 10.90.0.1; };
    listen-on-v6 { none; };
    allow-query { 127.0.0.1; 10.90.0.0/24; };
    allow-transfer { none; };
    recursion no;
};

Lýstu svo yfir svæðinu og skránni þess:

zone "corp.example" {
    type primary;
    file "/etc/bind/db.corp.example";
};
$TTL 300
@ IN SOA ns.corp.example. hostmaster.corp.example. ( 1 3600 600 604800 300 )
@      IN NS ns.corp.example.
ns     IN A  10.90.0.1
portal IN A  10.60.0.20

Staðfestu fyrir endurhleðslu, því málfræðivilla við hleðslu fellir allan þjóninn fyrir hvert svæði sem hann þjónar:

named-checkconf
named-checkzone corp.example /etc/bind/db.corp.example

Opnaðu UDP og TCP 53 eingöngu á VPN-viðmótinu. Að birta einkavald á opinberu viðmóti býður bæði fyrirspurnum og upptalningu, og allow-transfer ætti að haldast lokað nema aukaaðili þurfi það virkilega.

Beindu biðlaranum að því, fyrir hverja tengingu

Gerðu ráð fyrir að NetworkManager eigi tenginguna og að systemd-resolved sé leysirinn. Lestu núverandi stefnu fyrst, sérstaklega hvert rótleiðarsvæði, því ~. færsla mun ganga framar því sem þú ert að fara að bæta við.

nmcli connection modify wg-office +ipv4.dns 10.90.0.1
nmcli connection modify wg-office +ipv4.dns-search '~corp.example'

Tildan er mikilvægasti stafurinn. Hún merkir svæðið sem aðeins-leið: nöfn undir corp.example fara til DNS-þjóns þessarar tengingar, og svæðinu er ekki bætt við sem viðskeyti fyrir stutnafnalet. Án hennar byrjar sláning portal að leysa portal.corp.example, sem er þægilegt fyrir þig og óvænt fyrir alla aðra. Haltu tildunni innan gæsalappanna, því án gæsalappa er hún skeljstækkun sem bíður eftir að vísa á heimasvæðið þitt.

Beittu breytingunni í gegnum stjórnandann sem á viðmótið, tengdu svo tenginguna aftur. Ekki ræsa aðra wg-quick eintak fyrir sama viðmót; tveir eigendur munu berjast um leiðir og annar þeirra vinnur á versta augnabliki.

Staðfestu leiðina áður en nafnið

Spurðu nafnið frá biðlaranum og staðfestu bæði svarið og þjóninn sem framleiddi það:

resolvectl query portal.corp.example

Ef það skilar 10.60.0.20 er DNS-samningnum fullnægt. Ef það rennur út, athugaðu fyrst leiðina að 10.90.0.1, svo eldveggjarregluna, svo allow-query á þjóninum. Nafnaleysingarbilanir í þessari uppsetningu eru næstum alltaf aðgengi eða ACL, ekki svæðisskráin. Vinnaðu út frá biðlaranum, því þjónninn getur ekki sagt þér hvers vegna fyrirspurn komst aldrei.

Mundu að forritið þarf enn sína eigin leið og sitt eigið þjónustuleyfi. Leyst nafn sem vísar á óaðgengilegt fang er önnur bilun í sama fatnaði.

Hvað er enn ekki sjálfvirkt

Forrit með eigin leysisrökfræði hunsa kerfisleysinn algjörlega, og enginn skammtur af nmcli breytir því. Uppsetningar sem staðfesta DNSSEC þurfa skýra hönnun traustsákers fyrir einkasvæðið; svarið er ekki almenn fyrirmæli um að slökkva á staðfestingu. Prófaðu með sama biðlarahugbúnaði og notendur þínir keyra, ekki með tóli sem notar kerfisleysinn fyrir tilviljun. Bilið milli þessara tveggja er öll villuskýrslan.

Flotar geta sjálfvirkjað þessa biðlarastefnu í gegnum úthlutunarkerfi sitt, en stefnan er áfram aðskilinn hlutur með eiganda. BIND 9 tilvísunin nær yfir hlustunar- og fyrirspurnarstýringarnar sem notaðar eru hér að ofan, og það er rétti staðurinn til að staðfesta hegðun fyrir uppsetta útgáfu þína.

Næsta skref: bættu hækkun raðnúmers svæðisins og eftirlitsskipununum við breytingarferlið þitt, svo færslubreyting geti ekki náð í framleiðslu óyfirfarin.

Tengdir greinar