StrongSwan schéckt eng DNS-Adress, déi de Mac net erreeche kann

Alles funktionéiert, bis een en MacBook opmécht. Den Tunnel steet, intern Hoste äntweren op Adress, an d'Nimm-Opléisung stierft. Op dem iPhone verhält sech deeselwechte Profil genee esou, während d'Windows- an Linux-Cliente gutt sinn. Meeschtens ass dat geschéckt DNS-Attribut schold: de Server verdeelt seng eege ëffentlech Interface-Adress, an dem Apple säin IKEv2-Client schéckt keng Ufroen duerch den Tunnel. Verlee den Resolver an de Pool, an d'Symptomer verschwannen ouni de Client unzepaken.

D'Symptom weist op déi geschéckt Adress

Wann nëmmen e puer Plattformen ausfalen, sinn den Tunnel an d'Zougangsdaten bal sécher an der Rei, well déi gedeelt ginn. Wat anescht ass, ass wéi all Client d'Konfiguratiounslass uwent, déi e kritt, inklusiv den internen DNS-Server. En Client, deen d'Adress akzeptéiert awer d'Ufroe ronderëm den Tunnel leet, lande mat engem Resolver, deen en gesäit an net ka benotzen.

D'ëffentlech Adress ass déi üblech Wiel, well se déi eenzeg ass, déi den Administrateur schonn kennt. Se ass och déi eenzeg Adress, déi garantéiert ausserhalb vum Tunnel sengem eegene Prefix läit, an genau déi Eegeschaft brécht dem Apple seng Clienten.

Kuckt de Wäert, ier dir eppes ännert. Wann den geschéckte Resolver d'WAN-Adress vum Server ass, hutt dir d'Form vum Problem fonnt a kënnt de Rescht vum Raten iwwersprangen. Vergläicht en och mam Pool-Prefix, well eng Adress bannen am Pool awer ausserhalb vum geléinten Bereich ass genee wéi d'Korrektur ausgesäit. Zwou Minute mat der Konfiguratioun schloe en Nomëtteg Paket-Ofgräifen um Client.

Schneid den Resolver aus dem Léin-Bereich eraus

Gitt dem Tunnel en Adressplang, an deem den Resolver Member vum Pool sengem eegene Subnet ass, a reservéiert dann déi Adress, sou datt se ni un e Client verléint gëtt. An dësem Beispill ass de Pool 10.180.7.0/24, den Server hält 10.180.7.1, an d'Léine fänken bei 10.180.7.2 un.

rightsourceip=10.180.7.2/24
rightdns=10.180.7.1

De Pool-Prefix an den Resolver deelen en Subnet, also d'Route, déi schonn Tunnel-Traffic dréit, dréit och d'Ufroen. Genau déi eng Eegeschaft mécht d'Korrektur iwwer Clienten hiweg transportabel. An enger swanctl-Konfiguratioun erschéngen déi selwecht zwou Tatsaachen als Pool-Definitioun an DNS-Astellung op der Verbindung anstatt an der ipsec.conf-Syntax.

Den Server brauch dofir keng nei physesch Interface. 10.180.7.1 op d'Loopback-Interface bäizefügen ass genuch, fir datt en Resolver sech binde kann a äntwert, well d'Clienten en iwwer d'Pool-Route erreechen, déi schonn existéiert. Halt d'Adress ausserhalb vum Léin-Bereich, sou datt keen Client se duerch Zufall hëlt. Wann de Pool vun engem externe DHCP- oder RADIUS-Service geréiert gëtt, reservéiert d'Adress och do, soss hëlt se den éischte Client, deen freet.

Bind den Resolver a maach de Port 53 zou

Eng Adress zouweise ass net datselwecht wéi drop lauschteren. En Resolver, deen nëmmen op der LAN-Adress lauschtert, refuséiert oder ignoréiert Ufroen, déi op d'Pool-Adress geschéckt ginn, an de Client gesäit en Timeout, deen wéi e Routing-Fehler ausgesäit.

interface: 10.180.7.1
access-control: 10.180.7.0/24 allow
access-control: 0.0.0.0/0 refuse

Dat unbound-Fragment akzeptéiert Ufroen aus dem Tunnel-Pool a refuséiert alles anescht, wat d'Politik ass, déi déi meescht Firmenresolver wëllen. Wann déiselwecht Instanz och LAN-Cliente äntwert, füügt de LAN-Prefix explizit bäi, amplaz de Lauschterer op all Quellen auszebreeden.

Dunn mussen d'Firewall-Regelen mat dem Resolver senger eegener Zougangskontroll iwwerenee stëmmen. Akzeptéier de Port 53 aus dem Pool, a verworf en iwwerall soss, awer kontrolléier fir d'éischt d'Reiefolleg vun der Kette.

iptables -A INPUT -p udp --dport 53 -s 10.180.7.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -s 10.180.7.0/24 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j DROP
iptables -A INPUT -p tcp --dport 53 -j DROP

Eng méi fréi, méi breet Akzeptanz-Regel mécht déi lescht zwou Zeilen dekorativ, an de Resolver bleift vum Internet aus erreechbar. Liest de wirksame Regelsaz mat de Comptëren, amplaz op d'Reiefolleg ze vertrauen, déi dir gemengt hutt. Déi alternativ Politik, d'ëffentlech Adress ze schécken an Ufroen aus all Quell z'erméiglechen, funktionéiert fir vill Clienten, mee setzt de Resolver op den Internet a brauch seng eege Vitessbegrenzung a Monitoring.

Verifizéier, wat de Client tatsächlech kritt huet

Kuckt d'éischt dem Server seng Vue, dann déi vum Client, well déi zwou informativ vunenee ofwäichen. Eng Pool-Lëscht weist, wéi eng Adress verléint gouf, an d'Lëscht vun de Sécherheetsassociatiounen weist, ob d'Verbindung mat der erwaarter Identitéit steet.

swanctl --list-sas
swanctl --list-pools
dig +short @10.180.7.1 intranet.plant.example

D'direkt Ufro beweist, datt den Resolver op der Pool-Adress vun engem Host äntwert, deen en erreeche kann. Se beweist net, datt de Mac dee Server gewielt huet. Op macOS lëscht scutil --dns Resolver pro agegrenzte Service op a ass informativ wéi de Resumé-Panneau; op Windows weist Get-DnsClientServerAddress, ob den Tunnel-Adapter de geschéckte Wäert akzeptéiert huet.

Wann de Client d'Pool-Adress weist an d'Ufroen nach ëmmer an den Timeout lafen, läit de Feeler op der Tunnel-Route oder an der Firewall-Kette. En Client, deen keen Resolver mellt, bedeit, datt d'Konfiguratiounslass ni ukomm ass, also kuckt wéi déi Plattform déi geschéckt Astellungen uwent an net d'Netz. Schreift op, wéi ee vun den zwéin Fäll dir observéiert hutt, ier dir eppes anescht ännert. Déi zwou Feeler gesinn identesch an engem Support-Ticket aus a féieren zu Géigendeel-Reparaturen.