OpenVPN-Clienten op e Pi-hole-Resolver op engem aneren Host weisen

Eng Pi-hole-Adress an en OpenVPN-Profil setzen schaaft keen Wee dohinner, gëtt keng Erlaabnis fir se ze froen a garantéiert net, datt de Client se benotzt. Wann Pi-hole op enger separater LAN-Maschinn steet, mussen véier Saachen op enger Linn sinn: de Wee vum Client, d'Viruleedung vum Gateway, de Réckwee an de Pool an d'Unamepolitik op Pi-hole selwer. All Feeler gesäit am Log anescht aus. Se an där Reihenfolge ofzeschaffen ass méi séier wéi de leschten als éischten ze flicken. Den übleche Schrëtt, d'Rekursioun fir all Quell opzemaachen, tauscht e klengt Problem géint e permanente.

Wat d'gepuschte DNS-Optioun mécht a wat net

De Server annoncéiert e Resolver mat der Direktiv hei drënner, a geet dovun aus, datt 192.168.50.53 de Pi-hole-Host ass. De Client kritt d'Optioun a, jeee no Plattform a Resolver-Integratioun , applizéiert se op d'Tunnel-Schnittstell oder ignoréiert se zugonschte vun engem lokale Stub. D'Linn vum Wee ass esou wichteg wéi d'DNS-Linn, well e Resolver, deen de Client net erreecht, guer kee Resolver ass. Näischt vun dësem ass vun der Serversäit ze gesinn.

server 10.90.0.0 255.255.255.0
push "dhcp-option DNS 192.168.50.53"
push "route 192.168.50.0 255.255.255.0"

Eng Optioun kréien ass net datselwecht wéi se benotzen. E Linux-Client mat engem Resolver-Manager akzeptéiert vläicht de gepuschte Server a schéckt just bestëmmten Domänen dohinner; e Client, deen DNS selwer verwalt, kann d'Astellung komplett iwwerschreiwen. Gepuschte Weeër sinn op e puer Plattformen och limitéiert, wat de Resolver onereechbar léisst, och wann d'Optioun akzeptéiert gouf. Kontrolléier um Client, wéi e Server äntwert, net um Server, wat geschéckt gouf.

D'Optioun seet och näischt iwwer d'Serversäit. DNS-Trafic muss ëmmer nach vum Client zum Gateway an vum Gateway op Pi-hole goen, éier eng Optioun eppes bedeit. En feelende Wee an eng ofgeleent Ufro gesinn aus Client-Siicht gläich aus, also bestätegt fir d'éischt d'Viruleedung um Gateway.

De Réckwee vu Pi-hole an de Pool

Wann d'Quelladress vum Client erhale bleift, äntwert Pi-hole op eng Adress bannent dem VPN-Pool. Seng eege Routingtabelle weess wahrscheinlech näischt iwwer dee Pool, also geet d'Äntwert op säin Default-Gateway an verschwënnt. De Log vun den Ufroe weist eng Ufro ouni entspriechend Äntwert, wat een einfach als Firewall-Problem mëssversteet.

Gëff dem LAN-Router en statesche Wee fir de Pool mam OpenVPN-Gateway als nächste Sprong, oder iwwersetz d'Quell um Gateway, éier du op Pi-hole viruleetst. Déi éischt hält d'Adresse vun all Client am Log vun den Ufroe vu Pi-hole sichtbar. Déi zweet hëlt d'Ufuerderung vum Réckwee ewech, awer mécht all Ufro esou ausgesinn, wéi wann se vum Gateway këmme. Keng vun deenen zwee ass falsch; si beäntwerten ënnerschiddlech Froen.

Wann d'Rapportage oder d'Politik pro Client wichteg ass, ass de statesche Wee den besseren Tausch. Wann de LAN vun engem aneren verwalt gëtt an et kee Wee gëtt, ass d'Iwwersetzung déi pragmatesch Optioun, mat dem Verloscht vun der Client-Identitéit opgeschriwwen. Nottéier, wéien du gewielt hues, well all spéider Log-Fro dovun ofhänkt.

De Lauschmodus vu Pi-hole fir geroutete Clienten

D'Dropdown vum Lauschverhalen vun den Schnittstellen op der Säit vun den Astellungen ënner DNS entscheet, wéi eng Quelle Pi-hole äntwert. Déi strengst Optioun akzeptéiert just Clienten op direkt ugeschlossenen Netzwierker; d'Optioun, déi Apparater maximal ee Sprong wäit erlaabt, erweidert dat op Subnetzer hannert engem ugrenzende Router, an esou gesäit e gerouteten VPN-Client aus. De Paket kënnt wierklech op der LAN-Schnittstell un, awer seng Quelladress gehéiert zu engem aneren Subnetz. Dëst ass eng Oflehnung duerch d'Politik an net e Routing-Fehler, an den Ënnerscheed ass wichteg wann s du Logs liess.

De Lauschguide vu Pi-hole trennt lokal ugeschlossen Quelle vun de gerouteten Hierkonft, an d'Schnittstell vum Ukommen ass net de Moossstaf. Wiel e Modus, deen de VPN-Pool erlaabt, ouni den ganzen Internet ze erlaben, a paarf en dann mat enger Firewall-Regel, déi DNS just aus dem Pool akzeptéiert.

D'Rekursioun fir all Hierkonft opzemaachen, datt déi éischt Ufro funktionéiert, ass déi falsch Reparatur. Et mécht aus engem private Resolver en oppenen, an d'Korrektur ass eng limitéiert Erlaabnis, net eng global.

Maach d'Äntwert mam Log vun den Ufroe kompatibel

Fro de Client, kontrolléier dann de Server a vergläich déi zwee. Op engem systemd-resolved-Client melden d'Kommandos hei drënner, wéi e Resolver eng Äntwert produzéiert huet a wéi eng Serveren pro Verbindung konfiguréiert sinn. Benotz en Numm, deen nëmmen Pi-hole kennt, well eng direkt Ufro un d'Pi-hole-Adress d'Erreechbarkeet beweist, net d'Konfiguratioun.

resolvectl query intranet.example.lan
resolvectl dns

Déi erwaart Äntwert nennt 192.168.50.53 als Server a gëtt eng Adress zréck, déi nëmmen dee Resolver wéisst. Kuck dann d'Vue vu Pi-hole selwer: pihole -t verfollegt de Log vun den Ufroe live, an all Linn dréit d'Quelladress. Wann d'Quell d'Tunneladress vum Client ass, ass de Wee vum Pool intakt. Wann et d'LAN-Adress vum Gateway ass, ass d'Quell-Iwwersetzung am Gaang an d'Adress vum Client selwer wäert ni erschéngen.

Wann am Log guer näischt erschéngt, ass d'Ufro ni op Pi-hole ukomm an dat nächst wat ze kontrolléieren ass d'Viruleedung um Gateway. Wann d'Ufro erschéngt an keng Äntwert zréckkënnt, ass de Réckwee de Problem, also de virege Sektioun. D'Feeler esou opzedeelen verhënnert, datt e Routing-Fehler fir eng Firewall-Regel gehale gëtt.

Kontrolléier d'Viruleedungsregel vum Gateway

De Gateway muss d'DNS-Pakete vum Client a Richtung Pi-hole viruleeden, an d'Regel déi dat mécht ass et wäert ze liesen amplaz ze presuméieren. D'Kommandos hei drënner lëschten d'Regele déi de Port 53 beréieren mat Zieler, op engem nftables-Host an op engem iptables-Host. Eng Regel déi existéiert awer null Treffer weist, ass d'Signal datt den Trafic verworf gëtt éier en iwwersat gëtt.

sudo nft list ruleset | grep -A3 'dport 53'
sudo iptables -t nat -L POSTROUTING -n -v | grep 53

Lies d'Zieler, net just d'Regele. Eng Regel déi ni entsprécht bedeit, datt de Paket duerch eng aner Schnittstell erausgeet, oder datt de Client en ni geschéckt huet. Eng Regel déi bei all Ufro entsprécht bedeit, datt d'Viruleedung funktionéiert an de Problem méi wäit um Wee ass.

Wéi en Instrument den Host och benotzt, hal d'Kontroll schmuel: de Pool als Quell, de Port 53 als Zil an Pi-hole als dat eenzegt erlaabt Zil. Eng breet Viruleedungsregel déi och de Port 80 erlaabt, ass en anert Problem dat drop waart ze geschéien.