Эмне үчүн маршрутизатордун өз DNS'и VPN туннелин айланып өтөт?

Кардарлардын сурамдары туннелди ээрчийт, ал эми маршрутизатордун өз сурамдары WAN аркылуу чыгат, жана бирөөнү жөнгө салган брандмауэр эрежеси экинчисине эч кандай таасир этпейт. Себеби ката эмес: өткөрүлгөн сурам жана маршрутизатор өзү түзгөн сурам — эки өзүнчө агым жана ар бири конфигурациянын башка бөлүгү менен салыштырылат. Кардардын жарымын гана жазып алуу экинчи жарымы эч качан колдонбогон жол тууралуу ишенимдүү жооп берет. Оңдоо — маршрутизатордун чечүүчүсүн атайын багыттоо, анан эки жолду өзүнчө текшерүү.

Пакеттерди жазуу чындыгында кайсы агымга таандык

Бир сурам эки алмашууну камтыйт. LAN кардары маршрутизатордун чечүүчүсүнө сурам жөнөтөт жана ал LAN интерфейсинде өткөрүлгөн трафик катары келет, ошондуктан өткөрүлгөн пакеттер үчүн жазылган саясат маршруту же NAT эрежеси ага дал келиши мүмкүн. Анан маршрутизатор кэштен жооп берет же жазуу болбосо, өйдө агым серверине өз сурамын ачат.

Бул экинчи сурамдын булагы — маршрутизатордун өзү, бара турган жери да өзү, ал эми платформа анын жолун башка конфигурация блогынан тандайт. Эки алмашуу тең бирдей атты алып жүрөт жана экөөнүн бири экинчисинин көчүрмөсү эмес. Ошондуктан LAN тарапта алынган жазуу кардардын пакети кайда кеткенин далилдейт жана чыгуучу пакет тууралуу эч нерсе айтпайт.

Практикалык текшерүү — эки тарапты тең бир убакта байкоо. Маршрутизатордо чечүүчүнүн сокетин тизмектеңиз, ага жергиликтүү суроо бериңиз жана WAN интерфейсин жазып алыңыз:

sockstat -4 -l | grep :53
dig +short @127.0.0.1 example.com
tcpdump -ni igb0 udp port 53

Эгер сокет тизмеси loopback же LAN дарегине байланган угуучуну көрсөтсө, маршрутизатор башка хостко өткөрүүнүн ордуна жергиликтүү жооп берет. Андан кийин жазуу пайда болгон өйдө агым сурамы туннелдин интерфейси менен же WAN аркылуу чыгарын көрсөтөт, жана бул саясат маршрутунун эрежеси эч качан бербеген жооп.

Эмне үчүн саясат маршруту экинчи сурамды эч качан көрбөйт

Брандмауэр эрежелери интерфейс, булак, бара турган жер жана порт боюнча жазылат жана түзмөктөн өткөн пакеттер үчүн бааланат. Маршрутизатор түзгөн сурам эч нерседен өтпөйт, анткени жергиликтүү процесс аны түздөн-түз маршруттоо таблицасына берет. Саясаттык маршруттоо жана NAT ошондуктан өткөрүлгөн жолго гана тиешелүү, жана дал ошондуктан эрежелер жыйындысы толук көрүнүп, баары бир маршрутизатордун DNS'ин туннелден тышкары калтырышы мүмкүн.

Бул айырмачылык ар бир прошивка кайра жазылгандан кийин да сакталат, анткени ал функциядан эмес, пакеттин жолунан келип чыгат. Түзмөк өзү үчүн жараткандын баары — чечүүчү сурамдары, убакыт синхрондошу, жаңыртуу текшерүүлөрү же пакет күзгүлөрүнө жетүү — жергиликтүү пайда болгон жана ошол эле сокур чекитке түшөт. Ошондуктан ноутбуктан жасалган тест маршрутизатор тууралуу эч нерсе далилдебейт.

pfSense чечүүчүсү өзүнүн өйдө агым жолун кайда аныктайт

pfSense бул бөлүнүүнү көрүнүктүү кылат. Кардардын трафигин саясат боюнча VPN дарбазасы аркылуу өткөрсө болот, ал эми брандмауэрдин өз трафиги LAN эрежелерин эмес, чечүүчүнүн чыгуу параметрин ээрчийт. Веб-интерфейсте бул параметр Services > DNS Resolver > Outgoing Network Interfaces астында жайгашкан жана анын мааниси чечүүчү өйдө агым сурамдары үчүн колдоно алган интерфейстердин тизмеси.

Ошол жерде туннелдин интерфейсин атоо, жана так ошол интерфейсти гана атоо — маршрутизатордун өз сурамдарын туннелге ээрчитип турган нерсе. Демейки бойдон калтырылса, чечүүчү маршруттоо таблицасынан чыгууну тандайт, ал эми эки WAN же VPN бар хостто бул көбүнчө WAN болот.

Башка прошивкалар ошол эле чечимди башка белги менен көрсөтөт: булак дарегине байланган өйдө агым серверлердин тизмеси, өткөрүү гана режими же документтелген маршрут саясаты. Издели турган параметр — ар дайым жергиликтүү түзүлгөн сурамдар үчүн чыгууну же булакты тандаган параметр. Чечүүчүнүн конфигурациясынын маалымдамасы pfSense үчүн ошол опцияны документтейт жана өзгөртүүдөн мурун окууга татыктуу.

Параметрден мурун бузулуу жүрүм-турумун тандаңыз

Туннел кулаганда эки жүрүм-турум акталат: эч нерсе агып кетпеши үчүн өйдө агым сурамдарын токтотуу, же белгилүү жолдогу бекитилген чечүүчүгө кайтуу. Экөө тең саясат жана демейки боюнча алардын эч бири берилбейт. Интерфейстердин тизмесине тийүүдөн мурун тармакка кайсынысы керек экенин чечиңиз.

Бузулуу учурунда жабылууну коргоо оңой, бирок ал туннелдин үзүлүшүн маршрутизатордун артындагы ар бир түзмөк үчүн ат чечүүнүн үзүлүшүнө айландырат. Кайтуу кеңсени колдонууга жарактуу кармайт, бирок туннелден тышкаркы өйдө агым алмашуусунун наркы менен, ал кокустан эмес, атайын кабыл алынышы керек. Тандоону жазып коюңуз, анткени VPN'ден тышкаркы чечүүчү дарегин көргөн кийинки адам аны агым деп окуйт, эгер жазуу башкача айтпаса. Дал ошол жазуу документтелген кайтууну кийинки чейректин кароосундагы түшүндүрүлбөгөн табылгадан ажыратат.

Чечимди эки учур татаалдаштырат. Жеке аттарга туннел жете алган ички чечүүчү керек болушу мүмкүн, ал эми өз шифрленген DNS'и бар браузер же колдонмо маршрутизаторду толук айланып өтүшү мүмкүн, ошондуктан сиз конфигурациялаган чечүүчү ар дайым белгилүү бир колдонмо колдонгон чечүүчү эмес.

Эки жолду тең текшериңиз жана жыйынтыктарды өзүнчө кармаңыз

Браузердеги DNS тести тар суроого жооп берет: ошол тесттин шарттарында ошол браузер кайсы чечүүчүлөрдү колдонду. Ал тармактагы түзмөктөрдү тизмебейт жана маршрутизатор өзү үчүн түзгөн сурамды көрө албайт. Анын жыйынтыгын аудит эмес, бир маалымат чекити катары кабыл алыңыз.

LAN кардарынан маршрутизатордон адегенде ачык ат, анан ички зонаңыз гана жооп бериши керек болгон жеке ат сураңыз. Экинчи сурамдагы гана ийгиликсиздик туннелге эмес, аттарды өткөрүүгө багыттайт:

dig @192.168.1.1 example.com
dig @192.168.1.1 intranet.example.lan

Анан туннелди түшүрүңүз жана эки сурамды кайталаңыз. Четке кагылган жооптор чечүүчү бузулууда жабыларын билдирет; ийгиликтүү жооп камдык чечүүчүгө жана анын колдонгон жолуна багыттайт. Муну жазган жазууңуз менен жана ошол эле мүнөттө WAN интерфейсинде алынган жазуу менен салыштырыңыз.

Жазууда байкоолорду өзүнчө кармаңыз: кардар менен маршрутизатордун алмашуусу, маршрутизатор менен өйдө агымдын алмашуусу жана экинчисин чечкен конфигурация. Кийинки маршрут өзгөртүү ошол экинчи алмашууну эскертүүсүз иштетет. VPN акыркы чекитинен башка жерден келген жооп өзүнөн өзү агым эмес; ал конфигурация бул жолду кокустан тандаганда гана агымга айланат.