Firwat geet den eegenen DNS vum Router um VPN-Tunnel laanscht?

Clientufroe follegen dem Tunnel, wärend dem Router seng eegen Ufroe iwwer de WAN erausgoen, an d'Feierwand-Reeg, déi déi eng regéiert, huet keng Wierkung op déi aner. Den Grond ass kee Feeler: eng virugeleet Ufro an eng Ufro, déi de Router selwer erstallt, sinn zwee getrennte Flëss, a jiddwereen gëtt mat engem aneren Deel vun der Konfiguratioun verglach. Nëmmen d'Client-Halschent ofzefänken gëtt eng selbstsécher Äntwert iwwer e Wee, deen déi zweet Halschent ni benotzt. D'Reparatur ass, de Resolver vum Router bewosst auszeriichten an duerno déi zwou Weeër getrennt ze testen.

Zu wéi engem Floss de Paketenofank tatsächlech gehéiert

Eng Ufro ëmfaasst zwee Austausch. E LAN-Client schéckt eng Ufro un den Resolver vum Router, an déi kënnt als virugeleete Verkéier um LAN-Interface un, sou datt eng Policy-Route oder NAT-Reeg, déi fir virugeleete Pakete geschriwwe gouf, se entsprieche kann. Duerno äntwert de Router aus dem Cache oder, wann et näischt gëtt, mécht seng eegen Ufro un en Upstream-Server op.

Déi zweet Ufro huet de Router als Quell a als eegen Destinatioun, an d'Plattform wielt hire Wee aus engem aneren Konfiguratiounsblock. Béid Austausch droen deen selwechten Numm, an keen ass eng Kopie vum aneren. Dofir beweist en Ofank, deen op der LAN-Säit gemaach gouf, wou de Pak vum Client higaang ass, a seet näischt iwwer de Pak, deen erausgeet.

D'praktesch Kontroll ass, béid Säiten gläichzäiteg ze kucken. Um Router: lëscht de Socket vum Resolver op, frot en lokal a fänk den WAN-Interface of:

sockstat -4 -l | grep :53
dig +short @127.0.0.1 example.com
tcpdump -ni igb0 udp port 53

Wann d'Socket-Lëscht en Nolauschterer weist, deen un d'Loopback- oder LAN-Adress gebonnen ass, äntwert de Router lokal, amplaz un en aneren Host virunzeleeden. Den Ofank weist dann, ob d'Upstream-Ufro, déi doraus entsteet, iwwer den Tunnel-Interface oder iwwer de WAN erausgeet, an dat ass d'Äntwert, déi d'Policy-Route-Reeg ni ginn hätt.

Firwat d'Policy-Route déi zweet Ufro ni gesäit

Feierwand-Reegele ginn géint en Interface, eng Quell, eng Destinatioun an e Port geschriwwen, a si ginn fir Pakete bewäert, déi duerch d'Këscht ginn. Eng Ufro, déi de Router erstallt, geet duerch näischt, well e lokale Prozess se direkt un d'Routingtabell gëtt. Policy-Routing an NAT gëllen dofir nëmmen fir de virugeleete Wee, an dofir kann e Reegelsaz komplett ausgesinn an den DNS vum Router trotzdem baussen dem Tunnel loossen.

Dësen Ënnerscheed iwwerliewt all Firmware-Neischreifung, well en aus dem Wee vum Pak kënnt an net aus enger Funktioun. Alles, wat d'Këscht fir sech selwer erstallt, sief et Resolver-Ufroe, Zäitsynchronisatioun, Update-Kontrollen oder Zougrëff op Paketspigelen, ass lokal entstanen a fält an déiselwecht blann Plaz. Dofir beweise sech och Testen, déi vun engem Laptop gemaach ginn, näischt iwwer de Router.

Wou de pfSense-Resolvert säin eegenen Upstream-Wee decidéiert

pfSense mécht d'Deelung siichtbar. Clientverkéier kann duerch eng VPN-Gateway per Policy-Route lafen, wärend de Verkéier vun der Feierwand selwer dem Resolver seng Ausgangsastellung follegt an net de LAN-Reegelen. An der Web-Interface steet déi Astellung ënner Services > DNS Resolver > Outgoing Network Interfaces, an hire Wäert ass d'Lëscht vun den Interface, déi de Resolver fir Upstream-Ufroe benotze kann.

Den Tunnel-Interface do ze nennen, an nëmmen deen Interface, ass et, wat dem Router seng eegen Ufroe dem Tunnel noféiere léisst. Op der Standardastellung gelooss wielt de Resolver en Ausgang aus der Routingtabell, wat op engem Host mat duebele WAN oder VPN dacks de WAN ass.

Aner Firmware weist déiselwecht Entscheedung ënner engem aneren Etikett: eng Upstream-Serverlëscht, déi un eng Quelladress gebonnen ass, en Nëmme-Viruleedungsmodus oder eng dokumentéiert Routenpolitik. D'Astellung, déi Dir siche musst, ass ëmmer déi, déi en Ausgang oder eng Quell fir lokal erstallte Ufroe wielt. D'Referenz fir d'Konfiguratioun vum Resolver dokumentéiert déi Optioun fir pfSense an ass virun der Ännerung liesenswäert.

Wielt d'Verhalen bei Feeler virun der Astellung

Wann den Tunnel fält, sinn zwee Verhalen ze verdeedegen: Upstream-Ufroe stoppen, dass näischt leckt, oder op e geneemegte Resolver op engem bekannte Wee zréckgoen. Béid si Politik, a keen ass dat, wat Dir standardméisseg kritt. Entleet, wat d'Netz brauch, ier Dir d'Interface-Lëscht beréiert.

D'Zoumaachen bei Feeler ass méi einfach ze verdeedegen, awer et mécht en Tunnelausfall zu engem Numm-Opléisungsausfall fir all Apparat hannert dem Router. De Réckgrëff hält de Büro brauchbar, awer um Präis vun engem Upstream-Austausch baussen dem Tunnel, dee bewosst akzeptabel muss sinn an net duerch Zufall. Schreift d'Wiel op, well déi nächst Persoun, déi eng Resolveradress baussen dem VPN gesäit, liest se als Leck, ausser eng Notiz seet anescht. Déi Notiz ass et, déi e dokumentéierte Réckgrëff vun enger onerklärter Entdeckung an der Iwwerpréiwung vum nächsten Trimester trennt.

Zwee Fäll maachen d'Entscheedung komplett. Privat Nimm kënnen en internen Resolver brauchen, deen den Tunnel erreecht, an e Browser oder eng Applikatioun mat engem eegene verschlësselte DNS kann de Router ganz ëmgoen, dofir ass de Resolver, deen Dir konfiguréiert hutt, net ëmmer deen, deen eng bestëmmten App benotzt.

Test béid Weeër a haalt d'Resultater auserneen

En DNS-Test am Browser beäntwert eng schmuel Fro: wéi eng Resolveren huet dee Browser ënner de Konditioune vun deem Test benotzt. En inventariséiert d'Apparater am Netz net a kann eng Ufro, déi de Router fir sech selwer erstallt huet, net gesinn. Behandelt säin Output als ee Datenpunkt an net als Audit.

Frot vun engem LAN-Client de Router no engem ëffentlechen Numm an duerno no engem private, deen nëmmen Är intern Zon beäntwerten soll. E Feeler nëmmen op der zweeter Ufro weist op Nummviruleedung an net op den Tunnel:

dig @192.168.1.1 example.com
dig @192.168.1.1 intranet.example.lan

Da setzt den Tunnel erof a widderhuelt béid Ufroe. Ofgeleent Äntwerten heeschen, datt de Resolver bei Feeler zoumécht; eng erfollegräich Äntwert weist op e Réckgrëff-Resolvert an de Wee, deen en benotzt huet. Vergläicht dat mat der Notiz, déi Dir geschriwwen hutt, an mat engem Ofank um WAN-Interface aus der selwechter Minutt.

Haalt d'Observatiounen auserneen am Protokoll: den Austausch tëschent Client a Router, den Austausch tëschent Router an Upstream, an d'Konfiguratioun, déi den zweeten decidéiert huet. Eng spéider Routing-Ännerung wäert deen zweeten Austausch ouni Warnung usetzen. Eng Äntwert, déi vun enger anerer Plaz wéi dem VPN-Endpunkt kënnt, ass net u sech e Leck; se gëtt nëmmen e Leck, wann d'Konfiguratioun dee Wee duerch Zufall gewielt huet.