Pi-hole VPN туташкандан кийин жарнамаларды блоктобойт: беш текшерүү

Кардарда жарнамалар дагы эле көрүнүп турат, Pi-hole өзүн соо деп билдирет, туннель да иштеп турат, ошондуктан ошол кардардын трафигин Pi аркылуу өткөрүү инстинкти пайда болот. Бул туура эмес бурулуш. Фильтрлөөгө пакеттер эмес, суроолор керек, жана сурамдары провайдердин резолверине кеткен кардар трафиги кайда акпасын, фильтрден өтпөй калат. Бул тизмени ирети менен аткарыңыз жана ийгиликсиз аяктаган биринчи кадамда токтоңуз, анткени мурунку кадам бузулганда кийинки кадам сизге эч нерсе айта албайт.

1. Кардар чындыгында колдонуп жаткан резолверди окуңуз

Роутерден эмес, кардардан сураңыз. Linuxте resolvectl status ар бир туташуу боюнча DNS серверлерин жана кайсы туташуу жеңерин басып чыгарат; /etc/resolv.conf өзү алдында адатта 127.0.0.53кө шилтеме кылган stub болуп саналат. Windowsте ipconfig /all ар бир адаптер боюнча DHCP берген серверлерди тизмелейт, ал эми macOSте scutil --dns ошону аймак боюнча көрсөтөт. Эгер жооп Pi-holeдун дареги болбосо, сизде дайындоо маселеси бар жана 2-кадам — анын орду.

Системалык резолвер туура коюлганда да аны эки нерсе жеңет. Өз коопсуз DNSи бар браузерлер (Chromeдун “Use secure DNS” опциясы, Firefoxтун network.trr.mode параметри) сурамдарды HTTPS аркылуу ачык резолверге жөнөтөт жана 53 портун эч качан ачпайт. Ал эми кардардын өзүндөгү VPN кардар өз туннель интерфейсине ~. маршруттоо домени менен DNS серверин орното алат, бул ошол туташууну ар бир ат үчүн ыйгарым укуктуу кылат.

Колдонмолор өткөн жолду текшериңиз, ал эми жөндөө куралы өткөн жолду эмес. resolvectl query example.com кайсы туташуу жооп бергенин көрсөтөт, ал эми getent hosts example.com колдонмо өткөн ошол эле NSS жолунан өтөт; macOSте dscacheutil -q host -a name example.com scutil --dns тизмелеген аймактык резолверлерди окуйт. Жалаң dig муну кылбайт: ал /etc/resolv.confту окуп, туташуу боюнча тандоону өткөрүп жиберет, ошондуктан ар бир колдонмо түртүлгөн резолверди колдонуп жатканда ал Pi-holeдон жооп бере алат, жана бул дал ушул тизме кармоо үчүн бар кемчилик. Бир конкреттүү серверди текшерүү үчүн dig @192.168.1.53ти калтырыңыз.

2. Жоопту ким таратаарын ырастаңыз

Дайындоо DHCPге жооп берген нерседен келет. dnsmasqта бул бир сап, dhcp-option=6,192.168.1.53; роутердин веб интерфейсинде бул LAN DHCP бөлүмүндөгү DNS талаасы. Кардарлар муну көрүү үчүн жаңыртышы керек. Күндөп күйүп турган түзмөк дагы эле эски ижараны кармайт, ал эми резолвери кол менен жазылган түзмөк аны түбөлүк кармайт. Таралышын божомолдоонун ордуна сыноо кардарында жаңыртыңыз.

IPv6 — унутулуп калган жарымы. Роутер жарнамалары өз DNS серверин алып жүрүшү мүмкүн (RDNSS), ал эми OpenWrtте бул odhcpdтин ra_dns опциясы; IPv6ны артык көргөн кардар ошол серверди колдонот, ал эми жаңы эле койгон DHCPv4 опциясы колдонулбай калат. Эгер IPv6 боюнча DNS көрсөтүүгө даяр болбосоңуз, тек DNS жарнамасын тазалаңыз: odhcpdтеги ra_dns же роутер жарнамаларына жооп берген нерседеги RDNSS опциясы. Бүт жарнаманы өчүрүү LANдан IPv6 даректөөнү да алып салат, бул сиз ойлогон өзгөртүүдөн алда канча чоң, ал эми тек DNS опциясын тазалоо даректөөнү бузулбай сактап, жетишпеген RDNSSти пакетти кармоодо көрүнүктүү кылат.

3. Сурамдын Pi-holeго жеткенин далилдеңиз

Piден жасалган сурам тармак жолу жөнүндө эч нерсени далилдебейт. Аны кардардан аткарып, жооп кодун окуңуз:

dig @192.168.1.53 example.com
dig @192.168.1.53 doubleclick.net

Тайм-аут фильтрлөөгө же маршрутка шилтейт; REFUSED кирүү эрежесине шилтейт; SERVFAIL Pi-hole артындагы жогорку резолверге шилтейт; сурам журналында эч качан көрүнбөгөн туура жооп кардар башка нерсе сураганын билдирет. UDP жана TCP 53тү текшериңиз, анткени чоң жооптор жана кээ бир резолверлер TCPге кайтат, ал эми Pi-hole контейнерде иштегенде экөөнү тең жарыялаңыз. Тек UDPны камтыган карталоо пакет жоготуусуна окшош үзгүлтүктүү кемчиликтерди жаратат.

Андан кийин Pi-holeдун угуу режими анын таптакыр жооп берерин чечет. Тек жергиликтүү режимде dnsmasq түз туташкан ички тармакта жок булактардын сурамдарын этибарга албайт, ал эми башка роутердин артындагы же туннелден келген кардар дал ушундай көрүнөт: кардардын убактысы бүтүп, сурам журналга эч качан жетпейт. Баары бир REFUSED катары көрүнгөн сурамды кирүү тизмеси же firewall эрежеси четке каккан. Бардык булактарга уруксат берүү адаттагы түзөтүү, аны менен бирге 53 портун өз ички тармактарыңыз менен чектеген firewall эрежеси жүрөт.

4. Туннель жоопту алмаштырдыбы же жутуп койдубу, текшериңиз

Бул эки симптом тең жашырылган учур. Роутер өзү VPN кардар болгондо, түртүлгөн DNS опциясы туннель көтөрүлгөн учурда LAN жөндөөсүн басып өтүшү мүмкүн: OpenVPN серверлери dhcp-option DNSти түртөт, ал эми WireGuard профилдери өз DNS жазуусун алып жүрөт. Роутердин натыйжалуу резолверин туннель иштеп турганда окуңуз, анга чейин эмес, жана LAN бети айтканды этибарга албаңыз.

Башка кемчилик — алмаштыруу эмес, жеткиликтүүлүк. Эгер туннелдин уруксат берилген префикстери сиздин LAN ички тармагын камтыса, роутерде 192.168.1.53 үчүн сурамдарды туннелге жөнөткөн маршрут бар, ал эми каршы тарапта кайра маршрут жок: туннель соо болсо да сурамдардын убактысы бүтөт. Тескерисинче, Pi-hole туннель ташыбаган ички тармакта жайгашканда болот. DNSке кайра тийүүдөн мурун даректи туннелдин уруксат берилген префикстери жана роутердин маршрут таблицасы менен салыштырыңыз.

Экөөнү эмес, бир түзөтүүнү тандаңыз. Же туннелди DNSтен алыс кармаңыз — OpenVPNде pull-filter ignore “dhcp-option DNS” жана WireGuardта AllowedIPs ичинде LAN префикси жок —, же түртүлгөн резолверди кабыл алып, ошол роутердин артындагы кардарлар үчүн жергиликтүү фильтрлөөдөн баш тартыңыз. Кайсынысын тандасаңыз да, аны профилдин жанына жазыңыз, анткени аны кийинки оңдогон адам болбосо чечимди байкабастан тескери бурат.

5. Кайра туташкандан кийин сыноону кайталаңыз

Кардардан сурам жасаңыз, ошол кардардын Pi-hole журналында көрүнгөнүн ырастаңыз, андан кийин блоктолушу керек болгон доменди чечип, чыныгы жооптун ордуна блоктоо жообун аларыңызды текшериңиз. Туннелди кайра туташтырып, ошол эки сурамды аткарыңыз, анткени кийинки туташууга чейин гана сакталган резолвер жөндөөсү — туура эмес катмарда колдонулган түзөтүүнүн адаттагы натыйжасы.

Туннелге көз каранды эмес кошумча резолвер жолун калтырыңыз, ошондо Pi-hole иштен чыкканда серептөө таптакыр токтобой, фильтрсиз серептөөгө түшөт. Сыноо эки жолу өткөнгө чейин мурунку DHCP жана резолвер маанилерин сактаңыз; кечки тамак убагында үйдүн интернетин үзгөн өзгөртүүнү оңдоо бир мүнөттө кайтарууга болгон өзгөртүүдөн алда канча кыйын.