OpenWrt-Policy-Routing: d'Kette, déi lokalen DNS fänkt

Clienten um LAN léisen duerch den Tunnel an dem Router seng eegen Ufroe maachen dat roueg net. Paketupdates, Zäitsynchronisatioun an dynameschen DNS ginn all iwwer den normale Uplink eraus, während all weidergeleet Ufro d'VPN hëlt, an näischt an der Interface deit drop hin, datt et zwou verschidde Weeër gëtt. D'Erklärung ass kee Bug an der Policy, mä eng Fro, wéi en Haken de Paket gesäit. Zwee Flëss, eng Resolveradress, an nëmmen een dovun iwwerquiert de Router. Si auseneen ze halen ass déi ganz Léisung.

Zwee Flëss, eng Resolveradress

Den éischte Floss ass deen, deen d'Leit sech virstellen. E Client freet de Resolver vum Router, de Resolver leet upstream weider, an dee weidergeleet Paket geet um Wee no baussen duerch de Router. Dee Paket ass sichtbar fir alles, wat weidergeleet Traffic observéiert.

Den zweeten Floss kënnt ni vun iergendwou un. De Router erstellt en, also gëtt et kee Pak ukomm an kee Weiderleeungsschratt, dee passt.

Déi zwee kënnen déiselwecht Resolveradress uviséieren, an dat ass genau de Grond, firwat den Ënnerscheed liicht ze iwwersinn ass. Déiselwecht Destinatioun, aneren Urspronk, aner Kette. Soubal een den Urspronk gesäit, follegt de Rescht vun der Diagnos.

Weidergeleet an lokal erstallte Paken kommen anescht eram

Weidergeleet Traffic gëtt bewäert, wann en vun enger anerer Interface kënnt. Policy-Routing-Pake leeën dat als prerouting-Kette blouss, an eng Regel, déi do placéiert gëtt, gesäit all Pak, deen de Router iwwerquiert. Dofir behuelen sech dem Client seng Ufroe genee wéi d'Policy et beschreift, an dofir ignoréiert de Router et. D'Regel ass net falsch, se ass just un engem Haken ugehänkt, deen de Router ni erreecht. Verreekelt se, an déiselwecht Iwwereneestëmmung fänkt u schaffen.

Lokal erstallten Traffic gëtt vun engem Prozess um Router erstallt an trëtt amplaz an den Ausgangspad an. E gëtt vum Router senger eegener Decisioun geroutet an en trëfft d'Policy nëmme wann d'Policy déi Kette deckt. Et gëtt keng Interface, déi era kënnt, fir ze passen, an keng Weiderleeungsdecisioun fir ze observéieren.

Dat ass eng Eegenschaft vun där Plaz, wou Pake gebuer ginn, an net vun engem bestëmmte Pak. Eng Regel, déi fir eng Kette geschriwwe gouf, huet einfach keng Meenung iwwer déi aner. Keng Quantitéit un Regel-Tuning ännert dat.

Wielt d'Ausgangskette, da verengt d'Iwwereneestëmmung

D'Léisung ass déiselwecht Intentioun och un d'Ausgangskette ze hänken, oder d'Regel dohi verreckelen, wann et dem Router seng eegen Ufroe sinn, déi Iech wichteg sinn. An enger OpenWrt-Installatioun, déi op engem Policy-Routing-Pak opgebaut ass, heescht dat, an der Ketteastellung vun der Regel output amplaz prerouting ze wielen. Halt béid Reegelen, wann béid Populatiounen Ofdeckung brauchen.

Da verengt, wat d'Regel passt. Destinatiouns-Resolveradressen um Port, déi de Resolver tatsächlech benotzt, sinn eng vill méi kleng Decisioun wéi alles, wat de Router erstallt, an den Tunnel ze schécken.

Halt béid Reegelen explizit, amplaz ze probéieren eng ze schreiwen, déi béid Ketten deckt. Separat Reegelen si méi liicht ze liesen, an se loossen Iech de Wee vum Router desaktivéieren, ouni den Clientstraffic ze stéieren, wann Dir debuggt. Se maachen och d'Zieler eent no deem aneren ausschlaggebend.

Halt dem Tunnel seng eege Transport aus der Regel eraus

D'baussen Verbindung vum Tunnel gëtt och vum Router erstallt. Eng Regel, déi all lokal erstallten Traffic an den Tunnel schéckt, wäert den Tunnel duerch sech selwer routen, an en wäert guer net eropkommen.

Den administrativen Zougang ass dat zweet Affer. Administrativ Sessiounen, déi vum Router ausginn, oder Äntwerten drop, kënnen duerch eng ze breet lokal Regel an den Tunnel gezunn ginn a vum LAN aus onerrechbar ginn.

Schloss den Endpunkt vum Tunnel vun der Iwwereneestëmmung aus, an halt d'Regel op d'Resolveradressen limitéiert. Dat ass duer fir d'DNS-Ufuerderung an ass kleng genuch, fir driwwer nozedenken.

Test béid Populatiounen, net eng

Kuckt de Router seng eege Ufro maachen an notéiert, wéi eng Interface se gedroen huet. Widderhëlt d'Sich vun engem LAN-Host aus an notéiert de Wee, deen déi geholl huet. Zieler op de Policy-Reegele maachen béid Äntwerten sichtbar, ouni ze roden.

Behandelt d'Resultater als zwou Feststellungen. E Client, deen duerch den Tunnel léist, seet näischt iwwer de Router, an e Router, deen richteg léist, seet näischt iwwer e Client op engem aneren Nolauschterer. Schreift se als getrennt Zeilen an den Ännerungsprotokoll.

Préift och de Port: eng Regel, déi den Destinatiounsport 53 passt, verpasst e Resolver, deen iwwer DNS over TLS op 853 oder en HTTPS-Endpunkt erreecht gëtt. Passt den Transport, deen den ageriichten Upstream tatsächlech benotzt, an de Leck geet aus dem richtege Grond zou.