Gitt Ärem Heem-VPN seng eege DNS-Enregistrementer fir nas.home.arpa

Wann den Tunnel uewen ass, ass de leschte Schrëtt meeschtens en Numm dee funktionnéiert amplaz vun enger Adress déi Dir an engem Lesezeechen hänkt. En dnsmasq-Host-Enregistrement plus eng Resolver-Adress déi de Client erreeche kann, maachen dat mat zwou Dateien an ouni Multicast. D'Entscheedung déi wierklech Nodenken braucht ass méi schmuel: schéckt de Client all DNS duerch den Heemresolver, oder just d'Nimm ënner home.arpa? Alles hei drënner setzt eng genehmegt WireGuard-Installatioun viraus mat engem Linux-Client an engem Laborresolver deen den Heemadministrator schonn administréiert.

Dräi Weeër fir dem Client e Resolver ze ginn

Fir e Laptop dee sech heiansdo un den Tunnel uschléisst, ass Split-DNS dee bessere Standard: en hält gewéinlech Internetnimm op deem Resolver dem d'Maschinn schonn vertraut. Fir eng Maschinn déi existéiert fir Heemservicer z'erreechen, ass et méi einfach de Resolver ze drécken an d'Käschte vum Ëmfang spillt keng Roll.

Veröffentlicht den Enregistrement bei deem Resolver deen d'Zone besëtzt

Halt d'Rollen auserneen ier Dir Konfiguratioun schreift: d'VPN-Client-Adress, de Resolver an de Service sinn dräi verschidden Hosts mat dräi verschiddenen Aufgaben. An dësem Laboratoire sinn dat 10.77.0.2 fir de Client, 192.168.50.53 fir dnsmasq an 192.168.50.20 fir den NAS, woubäi den Tunnel den Heem-LAN routeiert.

listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20

D'Linn host-record gëtt d'Adress an d'Linn local= hält onbekannt home.arpa-Froen an dësem Resolver amplaz se weiderzeschécken. Liest als éischt Är existent Konfiguratioun a gläicht alles of wat schonn e Server, eng Interface oder déi selwecht lokal Domain definéiert; e Fragment op en anert widerspréchlecht ze stapelen ergëtt e Resolver dee frou lued an falsch äntwert. Den dnsmasq-Handbuch definéiert béid Direktiven an d'Lauschterkontrollen.

Dann iwwerpréift de Service dee leeft, net d'Datei. En Konfiguratiounstest plus en Neistart ass de Minimum, an déi effektiv Äntwert ass dat wat eng Ufro zréckgëtt.

Routeiert de Resolver, net just d'Websäit

Dem WireGuard seng AllowedIPs entscheet wéi eng Destinatiounen an den Tunnel kommen. Wann d'Resolver-Adress dobaussen fält, verléisst d'Ufro de normale Wee an erreecht ni dnsmasq, obwuel den NAS selwer erreechbar ass. Huelt d'Adress vum Resolver op, oder de LAN-Prefix deen se enthält, a kontrolléiert d'Weiderleedungspolitik vum Gateway op der anerer Säit.

Erlaabt UDP an TCP op Port 53 aus dem autoriséierte Tunnelberäich, mat engem Zréckwee op d'Tunneladress vum Client. Leet net Port 53 vum WAN weider fir d'Tester méi einfach ze maachen: en oppene rekursive Resolver op enger Heemverbindung gëtt bannent Stonnen fonnt. Sech un eng Interface ze bannen ass net vun sech aus eng Access-Politik.

Kontrolléiert d'Äntwert virun der Applikatioun

Frot als éischt de Resolver direkt, dann de System, dann d'Applikatioun. All Schrëtt isoléiert ee Glidd an der Kette, an den Ënnerscheed tëschent hinnen ass d'Diagnos.

dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'

Et ass derwäert d'TCP-Ufro lafen ze loossen, well eng ofgeschnidden UDP-Äntwert en neie Versuch forcéiert, an eng Politik déi TCP 53 verwërft Feeler erzeugt déi intermitéierend ausgesinn. De Schrëtt getent weist wat d'Resolver-Konfiguratioun vun der Maschinn wierklech mécht, wat net ëmmer dat ass wat Dir gedréckt hutt.

Entscheet wat geschitt wann den Tunnel ënnen ass

Wann d'allgemein DNS vum Client op 192.168.50.53 weist, hält all Nummopléisung op ze funktionnéieren wann den Tunnel net uewen ass. Dat ass akzeptabel op enger Maschinn déi just mam Tunnel nëtzlech ass, an inakzeptabel op engem Laptop deen och Café-Wi-Fi benotzt. Split-DNS ëmgeet d'Fro komplett, well just home.arpa-Sich vum Heemresolver ofhänken.

Denkt drun wat den Numm ass: home.arpa ass fir Wunnnetzwierker reservéiert an net weltwäit eenzegaarteg, also kann en anert Netz dee selwechten Numm legitim benotzen. Et ass eng lokal Bequemlechkeet, keen zouverlässegen Identifiant. Hält den Enregistrement aktuell wann de Service sech beweegt, a läscht d'Resolver-Politik wann de Laboratoire ausser Betrib geet amplaz e Laptop ze loossen deen op eng Adress weist déi en just duerch en Tunnel erreeche kann deen net méi existéiert.