Жеке VPN аттары иштебей жатабы? Күнөөлүү — DNS кайра байлоодон коргоо

Кеңседеги LANда ички ат дароо жооп берет. VPN күйгөн замат ал иштебей калат, колдонмо таймаут жөнүндө билдирет, туннелдин өзү болсо нааразылыксыз трафикти өткөрүп жатат. Өзгөргөн нерсе — резолвер, жана ал резолвердин жеке даректер тууралуу өз пикири бар.

Кайра байлоодон коргоо бир конкреттүү амалды токтотуу үчүн бар. Атайын жарыяланган жеке ат коргоо иштеп кетишиндей деңгээлде окшош көрүнөт.

Саясатты окуудан мурун жоопту окуңуз

Атты VPN чындап тарата турган резолверден сураңыз, үйдө ноутбугуңуз колдонгон резолверден эмес. Жоопту күткөн жазуу менен салыштырыңыз жана жооп бошпу, четке кагылдыбы, же эч ким пландабаган жарыя даректерге толуппу — ошону жазып алыңыз.

Симптомдор бири-бирине кабатташат, андыктан диагнозду жооптун формасы чечет. NXDOMAIN — жок жазуу, REFUSED — кирүү эрежеси, ички ат үчүн жарыя дарек — саясат же split-DNS катасы, ал эми кардар колдоно албаган туура жеке дарек — таптакыр башка маселе. Четке кагылган туташуу же тынып калган сурам өзүнөн өзү эч нерсени далилдебейт, ошондуктан мындай билеттердеги биринчи буйрук кайра жүктөө эмес, издөө болушу керек. Бир нерсени өзгөртүүдөн мурун жоопту жазып алыңыз.

Коргоо чындап эмнени токтотот

DNS кайра байлоо кардар атка мурун ишенгенден кийин анын эмнеге чечилерин өзгөртүү аркылуу иштейт. Барак кол салуучу көзөмөлдөгөн аттан жүктөлөт, жооп жеке дарекке бурулат, ал эми браузер жергиликтүү тармактагы, ал эч качан түз туташууну кабыл албаган нерсе менен сүйлөшүүгө алданат. Коргоо — резолверден жеке аттар мейкиндигине кызмат көрсөтүү эч качан суралбаган учурда жеке мейкиндикке багытталган жоопторду четке кагуу. Ошол асимметрия — бүткүл кол салуу.

dnsmasq дал ушул жүрүм-турумду, домен боюнча өзгөчөлүктөр менен бирге документтейт. Өзүнүн колдонмосунда ал rebind-domain-ok параметрин ушундай даректерди мыйзамдуу түрдө кайтара ала турган домендерди атоонун жолу катары сүрөттөйт. Муну көздөлгөн оңдоо — чектелген уруксат, ал эми глобалдык которгуч эмес деген белги катары окуңуз.

Өзгөчөлүктү аттар мейкиндигине чектеңиз

Алгач аттар мейкиндигин, анан өзгөчөлүктү оңдоңуз. Иштебей жаткан ат уюм көзөмөлдөгөн доменге таандык экенине жана жазуу атайын колдоого алынып жатканына ынаныңыз. Тааныш LAN диапазонуна гана окшош күтүлбөгөн дарек шектелүүгө татыктуу, өзгөчөлүккө эмес, андыктан кандайдыр бир уруксат жазардан мурун зонанын ээсин текшериңиз.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

Андан кийин көздөлгөн аттарды камтый турган эң кууш уруксатты кошуңуз: бир домен же бир делегацияланган субдомен, VPN кардарлары сураган резолвер конфигурациясында. Ошол резолвердеги бардык ат үчүн коргоону өчүрүү алардын баарынын коргоосун бир убакта жоготот, ага эч качан муктаж болбогон аттар да кирет.

Split DNS ошол эле чечимге кирет. Эгер жеке аттар мейкиндигине ички резолвер гана жооп бериши керек болсо, аны ошол жерде жарыялап, анын жарыя резолверлерге агып кетишин токтотуңуз, ошондо өзгөчөлүк ар бир жолду эмес, бир жолду камтыйт.

Ресурсту жана коргоону кайра текшериңиз

Кайра сураңыз, анан кызматка туташып, кардар эмнени көрүп жатканын текшериңиз. Иштеп турган сессия менен туура жеке жооп өзгөчөлүк иштегенин билдирет. Тынып калган сессия менен туура жооп кийинки шек — маршрут же кызматтын инсандыгы экенин билдирет.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

Жарыя атты да ошол резолвер аркылуу сынап көрүңүз. Коргоо өзгөчөлүктөн тышкаркы аттарда да туура иштеши керек, эгер бул текшерүү ийгиликсиз болсо, өзгөртүү көздөлгөндөн кененирээк болгон. Сертификаттарды текшерүүнү акырына чейин козгобой кармаңыз, анткени туура чечилген ат баары бир кызмат сунуштаган сертификатка дал келиши керек.

Билетте четке кагылган жоопту, доменди, резолверди жана саясаттын ээсин жазыңыз. Ошол жазуу сырдуу ички бузулушту бирөө карап чыга ала турган конфигурация өзгөртүүсүнө айландырат.