OpenWrt саясий маршруттоо: жергиликтүү DNS кармаган чынжыр

LAN кардарлары туннел аркылуу чечишет, ал эми роутердин өз издөөлөрү унчукпай андай кылбайт. Пакет жаңыртуулары, убакыт синхрондоо жана динамикалык DNS баары кадимки uplinkтен чыгат, ал эми ар бир өткөрүлгөн сурам VPN алат, жана интерфейсте эки башка жол бар экенин эч нерсе көрсөтпөйт. Түшүндүрмө саясаттагы ката эмес, кайсы илгич пакетти көрөт деген суроо. Эки агым, бир чечүүчү дарек, жана алардын бирөө гана роутерден өтөт. Аларды ажыратуу — бүт оңдоо.

Эки агым, бир чечүүчү дарек

Биринчи агым — адамдар элестеткен агым. Кардар роутердин чечүүчүсүнөн сурайт, чечүүчү жогору жакка өткөрөт, жана ошол өткөрүлгөн пакет чыгууда роутерден өтөт. Ошол пакет өткөрүлгөн трафикти байкаган бардык нерсеге көрүнөт.

Экинчи агым эч качан эч жерден келбейт. Аны роутер жаратат, ошондуктан кирүүчү пакет да, дал келтирүүчү өткөрүү кадамы да жок.

Экөө тең бир чечүүчү дарегин көздөй алат, жана дал ошондуктан айырманы байкабай калуу оңой. Бирдей багыт, башка теги, башка чынжыр. Тегин көргөндөн кийин диагностиканын калганы уланат.

Өткөрүлгөн жана жергиликтүү жаралган пакеттер башкача кирет

Өткөрүлгөн трафик башка интерфейстен келгенде бааланат. Саясий маршруттоо пакеттери аны prerouting чынжыры катары көрсөтөт, жана ошол жерге коюлган эреже роутерден өткөн ар бир пакетти көрөт. Ошондуктан кардарлардын издөөлөрү саясат сүрөттөгөндөй эле жүрүшөт, жана ошондуктан роутер аны этибарга албайт. Эреже туура эмес эмес, ал жөн гана роутер эч качан жетпеген илгичке бекитилген. Аны жылдырыңыз, жана ошол эле дал келүү иштей баштайт.

Жергиликтүү жаралган трафикти роутердеги процесс жаратат жана ал чыгуу жолуна кирет. Аны роутердин өз чечими маршруттайт жана саясат ошол чынжырды камтыса гана саясатка жолугат. Дал келтирүүчү кирүү интерфейси да, байкоочу өткөрүү чечими да жок.

Бул пакеттер кайда төрөлөрүнүн касиети, белгилүү бир пакеттин эмес. Бир чынжыр үчүн жазылган эреженин экинчиси жөнүндө пикири жок. Эрежелерди жөндөөнүн эч кандай өлчөмү муну өзгөртпөйт.

Чыгуу чынжырын тандаңыз, анан дал келүүнү тарылтыңыз

Оңдоо — ошол эле ниетти чыгуу чынжырына да байлоо, же роутердин өз сурамдары маанилүү болсо эрежени ошол жакка көчүрүү. Саясий маршруттоо пакетине курулган OpenWrt жөндөөсүндө бул эреженин чынжыр параметринде prerouting ордуна output тандоону билдирет. Эки популяцияга тең камтуу керек болсо эки эрежени тең сактаңыз.

Анан эреженин эмнеге дал келерин тарылтыңыз. Чечүүчү чындап колдонгон порттогу багыттагы чечүүчү даректери роутер жараткандын баарын туннелге жөнөтүүдөн алда канча кичине чечим.

Эки чынжырды тең камтыган бирин жазууга аракет кылуунун ордуна эки эрежени ачык кармаңыз. Өзүнчө эрежелер окууга жеңил, жана мүчүлүштүктү оңдоодо кардар трафигине тоскоол болбостон роутердин жолун өчүрүүгө мүмкүндүк берет. Алар ошондой эле эсептегичтерди бирден маанилүү кылат.

Туннелдин өз ташуусун эрежеден тышкары кармаңыз

Туннелдин тышкы байланышын да роутер жаратат. Жергиликтүү жаралган бардык трафикти туннелге жөнөткөн эреже туннелди өзү аркылуу маршруттайт, жана ал такыр көтөрүлбөйт.

Башкарууга кирүү — экинчи курмандык. Роутерден башталган административдик сессиялар, же аларга жооптор өтө кенен жергиликтүү эреже менен туннелге тартылып, LANдан жеткиликсиз болушу мүмкүн.

Туннелдин акыркы чекитин дал келүүдөн чыгарыңыз, жана эрежени чечүүчү даректери менен чектеп кармаңыз. Бул DNS талабына жетет жана ойлонууга жетиштүү кичине.

Эки популяцияны тең текшериңиз, бирөөнү эмес

Роутердин өз сурамын жасоосун байкаңыз жана аны кайсы интерфейс ташыганын белгилеңиз. Издөөнү LAN хостунен кайталаңыз жана ал кандай жол менен жүргөнүн белгилеңиз. Саясат эрежелериндеги эсептегичтер эки жоопту тең божомолсуз көрүнүктүү кылат.

Жыйынтыктарды эки өзүнчө табылга катары кабыл алыңыз. Туннел аркылуу чечкен кардар роутер жөнүндө эч нерсе айтпайт, ал эми туура чечкен роутер башка угуучудагы кардар жөнүндө эч нерсе айтпайт. Аларды өзгөртүүлөр жазуусуна өзүнчө саптар кылып жазыңыз.

Портту да текшериңиз: багыттагы порт 53ке дал келген эреже 853төгү DNS over TLS же HTTPS акыркы чекити аркылуу жеткен чечүүчүнү өткөрүп жиберет. Конфигурацияланган upstream чындап колдонгон ташууга дал келтириңиз, жана агым туура себеп менен жабылат.