OpenVPN DNS дарбазада: dnsmasq жана брандмауэрдин алкагы

dnsmasq'ты туннелдин дарегинде иштетиңиз, DNS'ке клиенттер пулунан гана уруксат бериңиз, чечүүчүнү түртүңүз, анан түз сурамдарды жана колдонмонун өз издөөсүн текшериңиз.

Туннелдеги клиенттер дарбазага жете алышат, дарбаза ички чечүүчүгө жете алат, ошондуктан DNS иштеши керек. Бирок иштебейт, анткени бул эки башка уруксат, ал эми иштеген DNS кызматы үчүнчү нерсе. Угуучу клиенттер жете алган даректе болушу керек, брандмауэр ошол дарекке сурамдарга уруксат бериши керек, ал эми клиентке аны колдонуу керектиги айтылышы керек. Туннелди эки багытта ачуу алгачкы экөөнү кокустан чечип, үчүнчүсүн бүтпөгөн бойдон калтырат.

Угуучу эки багыттуу жергиликтүү кызмат

Кирүү багытында клиент дарбазанын туннель дарегине 53 портунда сурам жөнөтөт. Чыгуу багытында демон бул сурамды өзүнүн конфигурацияланган жогорку агымына жөнөтөт. Эки жарымы тең иштеши керек жана алар ар башка жолдор менен иштен чыгышат.

Клиент билдирген күтүү убактысы менен дарбазада көрүнгөн күтүү убактысы бир эле бузулуу эмес.

Туннелдин дарегин байланыштырыңыз, бардык даректи эмес

Бул иш үчүн арналган dnsmasq көчүрмөсүнө так угуу дареги, иштетилгенден кийин туннелдин пайда болушуна чыдаган байлоо режими жана бир так жогорку агым керек. Бул мен колдонгон эң кичине версия:

listen-address=127.0.0.1,10.90.0.1
bind-dynamic
no-resolv
no-hosts
server=192.168.50.53

bind-dynamic жекече даректерди байланыштырат жана tun0 кийин пайда болгондо аны менен иштешет, бул VPN кызматы кайра иштетилген хостто маанилүү. loopback'ти тизмелөө жалпыга ачык угуучуну кошпой эле жергиликтүү куралдарды иштетүүдө кармайт. no-resolv демондун хосттун чечүүчү конфигурациясынан жогорку агымдарды мурастоосуна жол бербейт, ал эми no-hosts бул көчүрмөнүн дарбазанын hosts файлын жарыялоосуна жол бербейт. Бул параметрлердин эч бири эч кимге кызматка сурам жасоого уруксат бербейт.

Экинчи демонду иштетүүдөн мурун 53 портунда мурунтан бар угуучу бар-жогун текшериңиз жана туура эмес папкадагы адашкан файлдын ордуна дистрибутивдин конфигурация ээсин колдонуңуз.

DNS кирүүсүнө уруксат бериңиз, туннел транзитине эмес

Муну иштетүүчү брандмауэр эрежелери туннел интерфейсине, клиенттер пулуна, дарбаза дарегине жана 53 портуна чектелген жергиликтүү кирүү эрежелери. Ар бир протоколго бирден эки эреже жетиштүү:

sudo ufw allow in on tun0 proto udp from 10.90.0.0/24 to 10.90.0.1 port 53
sudo ufw allow in on tun0 proto tcp from 10.90.0.0/24 to 10.90.0.1 port 53

DNS UDP сыяктуу эле TCP аркылуу да иштейт, ошондуктан UDP гана эрежеси чоң жоопторду үзүл-үзүл көрүнгөн түрдө иштен чыгарат. Бул ufw route уруксаттары эмес жана tun0 боюнча кең уруксатка айланбашы керек. Тартип мазмун сыяктуу эле маанилүү: tun0 дарегинен бардык кирүүнү таштаган мурунку эреже дагы эле жеңет, ал эми акыркы таштоонун астына уруксат кошуу эч нерсе жаратпайт.

Эгер дарбазанын DNS эми долбоордун бөлүгү болсо, ошол мурунку саясатты атайын карап чыгып, себебин жазыңыз.

Жогорку агымдын жарымы өзүнчө жол

Сурамдар дарбазадан өз дареги менен жогорку агым чечүүчүсүнө карай чыгат, ошондуктан дарбазанын маршруту жана ошол чечүүчүгө карата чыгуу саясаты алмашууга уруксат бериши керек. Бул клиенттерди угуучуга жеткирген эрежеден башка эреже жана ал башка симптом менен иштен чыгат.

Жооптор иштеши үчүн чектелбеген туннел чыгуусун кошпоңуз; көзөмөлдөнгөн жоопторго бул керек эмес.

Параметрди түртүңүз, анан өткөрүп берүүнү текшериңиз

Сервер чечүүчүнү клиенттерге түртүлгөн параметр менен жарыялай алат. Бул параметр, операциялык система аткарууга милдеттүү нускама эмес:

push "dhcp-option DNS 10.90.0.1"

Linux буйрук сабынын клиентине өзүнүн туташуу менеджеринин чечүүчү интеграциясы керек болушу мүмкүн, ал эми башкарылуучу түзмөккө жаңыртылган башкаруу профили керек болушу мүмкүн. Туташкандан кийин клиенттеги активдүү чечүүчүнү ырастаңыз, түртүү колдонулду деп божомолдоонун ордуна. Эки механизм бир убакта DNS орнотууга аракет кылганда, жыпылыктаган чечүү катары көрүнгөн жарыш пайда болот.

Максат — клиенттин чечүүчү конфигурациясынын бир ээси, жана түртүү адатта ошол ээ болот клиент платформасы макул болгондо гана.

Чындап курганыңызды текшериңиз

Бир жеке толук квалификацияланган атты жана бир уруксат берилген тышкы атты түз туннелдин дарегине, UDP жана TCP аркылуу сураңыз. Анан колдонмонун кадимки издөө жолу менен кайталаңыз.

Эгер түз сурамдар иштеп, колдонмо дагы эле иштен чыкса, бузулуу серверде эмес, өткөрүп берүүдө:

  • Клиент түртүлгөн параметрди эч качан колдонгон эмес.
  • Кийинчерээк башка чечүүчү орнотулуп, жарышта жеңди.
  • Колдонмо өзүнүн чечүүчү китепканасын же кэштеги жоопту колдонот.

Бекитилген VPN жолунан тышкаркы булак угуучуну такыр колдоно албастыгын ырастоо менен бүтүрүңүз. Ийгиликтүү чечүү кайтарган дарекке укук бербейт, ошондуктан бул эки суроону өзүнчө кармаңыз.

Тектеш макалалар