Pritunl жеке DNS иштебей жатабы? Тар resolver-маршрут кошуңуз

Жеке аттар корпоративдик тармакта баары үчүн чечилет, ал эми VPNде баары үчүн убакыт бүтөт. Resolver шлюзга жооп берет, ага чейинки маршрут бар, бирок суроо дагы эле эч качан жооп албайт. Жетишпегени башка ачык resolver же кененирээк маршрут эмес: жеке DNS сервери жооп берүүгө даяр булак дареги.

Resolver сиздин кардар пулуңузду четке каганын ырастаңыз

Кемчилик жеткиликтүүлүктө эмес, булакта экенин далилдөөдөн баштаңыз. Туташкан кардардан жеке resolverге түз суроо жөнөтүп, суроонун убактысы бүтөбү же баш тартуу катары кайтабы, байкаңыз. dig @10.40.0.53 intranet.example.net +time=2 +tries=1 убактысы бүтүп, ошол эле суроо шлюздан ийгиликтүү болсо, бул resolverдеги кирүү саясатын көрсөтөт. SERVFAIL жообу таптакыр башка жерге, адатта зонага же жогорку агымдагы жиберүүчүгө шилтейт.

Сыноодон мурун кардардын дарегин жазып коюңуз. Кардардагы ip -4 addr show tun0 же консолдо көрсөтүлгөн ижара resolver кайсы пулду көрөрүн айтып берет.

Андан кийин жолдун таптакыр бар экенин ырастаңыз. Resolver дарегин туннелге жиберген маршрут алгачкы шарт, чечим эмес; эгер пакеттер эч качан жетпесе, булак саясаты таптакыр каралбайт. Кардарда ip route get 10.40.0.53 менен текшериңиз.

Баарын которуунун ордуна бир хост-маршрут кошуңуз

Pritunlдин жеке DNS боюнча нускамасы тар чечимди сүрөттөйт: resolver дареги үчүн NAT күйгүзүлгөн /32 маршруту, ошол дарек кардарлардын DNS сервери катары тандалат. Маршрут resolver көргөн булакты DNS трафиги үчүн гана өзгөртөт. Колдонмо трафиги өзү үчүн тандаган булакты сактоочу дизайнды улантат.

Аны сервердин колдоого алынган маршрут ээси аркылуу, бар маршруттарды кабатташууга текшергенден кийин конфигурациялаңыз. Жогорудагы мисалда багыт NAT күйгүзүлгөн 10.40.0.53/32, ал эми кардар пулу 10.90.0.0/24 бойдон калат. Бир кызматты оңдоо үчүн бүт жеке диапазонду которбоңуз, анткени кардардын чыныгы дарегине таянган ар бир төмөнкү саясат анын ордуна шлюзду көрө баштайт. Сыноо издөө учурунда resolverдин суроо журналын байкап, ал чындап алган даректи ырастаңыз. Бир гана хост-маршрут которуу же уруксат жөнүндө эч нерсени далилдебейт.

Resolver дагы эле которулган булакка UDP жана TCP боюнча уруксат бериши керек, ал эми анын жооптору кайта алышы керек. Булакты өзгөртүү жок болгон зонаны же жазууну түзө албайт.

Суроону серверби же кардарбы жиберерин чечиңиз

Pritunl ошондой эле VPN Client DNS Mapping менен байланышкан DNS-прокси конфигурациясын документтештирет, мында сервер кардарлар үчүн жогорку агым суроолорун жиберет. Бул моделде жогорку агым булагы сервердин өзүнүн тармактык контекстине таандык, ал эми кардар тараптагы өзгөчөлүк туура эмес чечим.

Бир нерсе кошуудан мурун кайсы модел активдүү экенин аныктаңыз. Үч кабатташкан оңдоо, прокси, кардардагы resolverди алмаштыруу жана кол менен жасалган NAT скрипти адатта эч ким төмөнкүнү аныктабаганын билдирет: суроону кайсы компонент жибериши керек. bootstrapты да текшериңиз: туннел пайда болгонго чейин акыркы чекитти табуунун жалгыз жолу жеке resolver гана боло албайт, ал эми resolverге туруктуу өзгөртүү байланыштан узак жашабашы керек.

Ачык веб-баракчаны эмес, жеке издөөнү сынаңыз

Өзгөртүүнү колдонуп, кайра туташкандан кийин кардардын натыйжалуу resolver конфигурациясын карап чыгыңыз, анан жеке зонада гана бар экенин билген атты чечиңиз. Так серверсиз dig intranet.example.net кардар чындап эмнени колдонорун көрсөтөт. Андан кийин ошол издөө кайтарган дарекке суроо жөнөтүңүз, анткени чечүү жана кызматтын жеткиликтүүлүгү өзүнчө кадамдар. DNS-over-HTTPS аркылуу ачык сайттарды жүктөгөн браузер операциялык системанын жеке resolver жолу жөнүндө эч нерсени далилдебейт. Ачык экинчилик resolver да ички зона үчүн бийлик эмес.

Resolver дарегин, /32 маршрутун жана кардардын DNS жөндөөсүн бирге сервер жазууларына жазыңыз. Бул конфигурациянын жарымы гана калыбына келтирилсе, баштапкы кемчилик кайталанат.

Акырында, DNS ийгиликтүү болгондон кийин туннел колдонмо багытын дагы эле багыттайбы, ырастаңыз. Маршрут, кызматка жетүү жана аутентификация ат чечүүдөн көз карандысыз бойдон калат, ал эми иштеген издөө өткөрүү жөндөмү жөнүндө эч нерсе айтпайт. Эгер жеке баракча жай болсо да чечилсе, resolver өз ишин аткарды, ал эми маселе жолго өттү.