OpenWrt саясаттық маршруттау: жергілікті DNS-ті ұстайтын тізбек
Клиент сұраулары мен маршрутизатордың өз сұраулары әртүрлі ілгектерден кіреді. prerouting-ке бағытталған саясат әр LAN сұрауын тасымалдап, маршрутизаторды ISP uplink-інде қалдырады.
LAN клиенттері туннель арқылы шешеді, ал маршрутизатордың өз іздеулері үнсіз олай жасамайды. Пакет жаңартулары, уақыт синхрондауы және динамикалық DNS барлығы кәдімгі uplink арқылы шығады, ал әрбір жіберілген сұрау VPN-ді алады, және интерфейсте екі түрлі жол бар екенін ештеңе көрсетпейді. Түсініктеме саясаттағы қате емес, қай ілгектің пакетті көретіні туралы мәселе. Екі ағын, бір шешуші мекенжайы, және олардың тек біреуі ғана маршрутизатордан өтеді. Оларды ажырату — бүкіл түзету.
Екі ағын, бір шешуші мекенжайы
Бірінші ағын — адамдар елестететін ағын. Клиент маршрутизатордың шешушісінен сұрайды, шешуші жоғарыға жібереді, және сол жіберілген пакет шығу жолында маршрутизатордан өтеді. Бұл пакет жіберілген трафикті бақылайтын кез келген нәрсеге көрінеді.
Екінші ағын ешқашан еш жерден келмейді. Оны маршрутизатор жасайды, сондықтан кіріс пакеті де, сәйкестендіретін жіберу қадамы да жоқ.
Екеуі де бір шешуші мекенжайын нысана ете алады, және дәл сол себепті айырмашылықты байқамау оңай. Бірдей меже, басқа шығу тегі, басқа тізбек. Шығу тегін көрген бойда диагностиканың қалғаны жалғасады.
Жіберілген және жергілікті жасалған пакеттер әртүрлі кіреді
Жіберілген трафик басқа интерфейстен келгенде бағаланады. Саясаттық маршруттау пакеттері оны prerouting тізбегі ретінде көрсетеді, және сонда қойылған ереже маршрутизатордан өтетін әр пакетті көреді. Сондықтан клиент сұраулары саясат сипаттағандай әрекет етеді, және сондықтан маршрутизатор оны елемейді. Ереже қате емес, ол тек маршрутизатор ешқашан жетпейтін ілгекке бекітілген. Оны жылжытыңыз, және сол сәйкестік жұмыс істей бастайды.
Жергілікті жасалған трафикті маршрутизатордағы процесс жасайды және ол шығыс жолына кіреді. Оны маршрутизатордың өз шешімі маршруттайды және саясат сол тізбекті қамтыса ғана саясатқа кездеседі. Сәйкестендіретін кіріс интерфейсі де, бақылайтын жіберу шешімі де жоқ.
Бұл пакеттер қайда туатынының қасиеті, белгілі бір пакеттің емес. Бір тізбек үшін жазылған ереженің екіншісі туралы пікірі жай жоқ. Ережелерді күйлеудің ешбір мөлшері мұны өзгертпейді.
Шығыс тізбегін таңдаңыз, содан кейін сәйкестікті тарылтыңыз
Түзету — сол ниетті шығыс тізбегіне де бекіту, немесе маршрутизатордың өз сұраулары маңызды болса, ережені сол жерге көшіру. Саясаттық маршруттау пакетіне құрылған OpenWrt баптауында бұл ереженің тізбек параметрінде prerouting орнына output таңдауды білдіреді. Екі популяцияға да қамту қажет болса, екі ережені де сақтаңыз.
Содан кейін ереженің неге сәйкес келетінін тарылтыңыз. Шешуші шынымен пайдаланатын порттағы межелік шешуші мекенжайлары — маршрутизатор жасайтынның бәрін туннельге жіберуден әлдеқайда кіші шешім.
Екі тізбекті де қамтитын біреуін жазуға тырысудың орнына екі ережені айқын ұстаңыз. Бөлек ережелер оқуға оңай, және жөндеу кезінде клиент трафигін мазаламай маршрутизатордың жолын өшіруге мүмкіндік береді. Олар сондай-ақ санауыштарды бір-бірден мәнді етеді.
Туннельдің өз тасымалын ережеден тыс ұстаңыз
Туннельдің сыртқы қосылысын да маршрутизатор жасайды. Жергілікті жасалған барлық трафикті туннельге жіберетін ереже туннельді өзі арқылы маршруттайды, және ол мүлде көтерілмейді.
Басқару қолжетімділігі — екінші құрбан. Маршрутизатордан басталған әкімшілік сессиялар немесе оларға жауаптар тым кең жергілікті ережемен туннельге тартылып, LAN-нан қолжетімсіз болуы мүмкін.
Туннельдің соңғы нүктесін сәйкестіктен шығарыңыз, және ережені шешуші мекенжайларымен шектеп ұстаңыз. Бұл DNS талабына жетеді және ойлануға жеткілікті шағын.
Екі популяцияны да тексеріңіз, біреуін емес
Маршрутизатордың өз сұрауын жасауын бақылаңыз және оны қай интерфейс тасымалдағанын белгілеңіз. Іздеуді LAN хостынан қайталаңыз және оның қандай жолмен жүргенін белгілеңіз. Саясат ережелеріндегі санауыштар екі жауапты да болжамсыз көрінетін етеді.
Нәтижелерді екі бөлек табылым ретінде қабылдаңыз. Туннель арқылы шешетін клиент маршрутизатор туралы ештеңе айтпайды, ал дұрыс шешетін маршрутизатор басқа тыңдаушыдағы клиент туралы ештеңе айтпайды. Оларды өзгерістер жазбасына бөлек жолдар етіп жазыңыз.
Портты да тексеріңіз: межелік порт 53-ке сәйкес келетін ереже 853-те DNS over TLS немесе HTTPS соңғы нүктесі арқылы жететін шешушіні өткізіп жібереді. Конфигурацияланған upstream шынымен пайдаланатын тасымалға сәйкестендіріңіз, және ағу дұрыс себеппен жабылады.