Dodiet savam mājas VPN savus DNS ierakstus nas.home.arpa vajadzībām

Kad tunelis ir pacelts, pēdējais solis parasti ir vārds, kas darbojas tā vietā, lai ielīmētu adresi grāmatzīmē. dnsmasq resursdatora ieraksts un resolvera adrese, ko klients var sasniegt, to paveic ar diviem failiem un bez multicast. Lēmums, kam tiešām nepieciešama pārdomāšana, ir šaurāks: vai klients sūta visu DNS caur mājas resolveri, vai tikai vārdus zem home.arpa? Viss zemāk pieņem apstiprinātu WireGuard uzstādījumu ar Linux klientu un laboratorijas resolveri, ko mājas administrators jau pārvalda.

Trīs veidi, kā klientam dot resolveri

Klēpjdatoram, kas laiku pa laikam pievienojas tunelim, split-DNS ir labāka noklusējuma vērtība: tā patur parastos interneta vārdus resolverī, kuram iekārta jau uzticas. Iekārtai, kas pastāv, lai sasniegtu mājas pakalpojumus, resolvera piespiešana ir vienkāršāka, un tvēruma izmaksām nav nozīmes.

Publicējiet ierakstu resolverī, kuram pieder zona

Pirms rakstīt konfigurāciju, šķiriet lomas: VPN klienta adrese, resolveris un pakalpojums ir trīs dažādi resursdatori ar trim dažādiem darbiem. Šajā laboratorijā tie ir 10.77.0.2 klientam, 192.168.50.53 dnsmasq un 192.168.50.20 NAS, un tunelis maršrutē mājas LAN.

listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20

host-record rinda nodrošina adresi, un local= rinda tur nezināmos home.arpa jautājumus šajā resolverī, nevis pārsūta tos uz augšu. Vispirms izlasiet esošo konfigurāciju un saskaņojiet visu, kas jau definē serveri, saskarni vai to pašu lokālo domēnu; fragmenta uzlikšana virsū pretrunīgam rada resolveri, kas priecīgi ielādējas un atbild nepareizi. dnsmasq rokasgrāmata definē abas direktīvas un klausīšanās vadību.

Pēc tam pārbaudiet darbojošos pakalpojumu, nevis failu. Konfigurācijas tests un restartēšana ir minimums, un faktiskā atbilde ir tas, ko atgriež vaicājums.

Maršrutējiet resolveri, ne tikai tīmekļa lapu

WireGuard AllowedIPs nosaka, kuri galamērķi nonāk tunelī. Ja resolvera adrese paliek ārpus tā, vaicājums iziet pa parasto maršrutu un nekad nesasniedz dnsmasq, lai gan pats NAS ir sasniedzams. Iekļaujiet resolvera adresi vai LAN prefiksu, kas to ietver, un pārbaudiet vārtejas pārsūtīšanas politiku otrā pusē.

Atļaujiet UDP un TCP portā 53 no pilnvarotā tuneļa diapazona, ar atgriešanās ceļu uz klienta tuneļa adresi. Nepārsūtiet portu 53 no WAN, lai atvieglotu testēšanu: atvērts rekursīvs resolveris mājas savienojumā tiek atrasts dažu stundu laikā. Saistīšanās ar saskarni pati par sevi nav piekļuves politika.

Pārbaudiet atbildi pirms lietojumprogrammas

Vispirms jautājiet resolverim tieši, pēc tam sistēmai, pēc tam lietojumprogrammai. Katrs solis izolē vienu ķēdes posmu, un atšķirība starp tiem ir diagnoze.

dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'

TCP vaicājumu ir vērts palaist, jo saīsināta UDP atbilde liek atkārtot, un politika, kas izmet TCP 53, rada kļūmes, kas izskatās periodiskas. getent solis parāda, ko iekārtas resolvera konfigurācija patiešām dara, un tas ne vienmēr ir tas, ko jūs nosūtījāt.

Izlemiet, kas notiek, kad tunelis ir izslēgts

Ja klienta vispārīgais DNS norāda uz 192.168.50.53, jebkura vārdu izšķiršana pārstāj darboties, kad tunelis nav pacelts. Tas ir pieņemami iekārtā, kas ir noderīga tikai ar tuneli, un nepieņemami klēpjdatorā, kas izmanto arī kafejnīcas Wi-Fi. Split-DNS pilnībā izvairās no šī jautājuma, jo tikai home.arpa meklēšana ir atkarīga no mājas resolvera.

Atcerieties, kas ir vārds: home.arpa ir rezervēts dzīvojamiem tīkliem un nav globāli unikāls, tāpēc cits tīkls var likumīgi izmantot to pašu vārdu. Tā ir vietēja ērtība, nevis uzticams identifikators. Uzturiet ierakstu aktuālu, kad pakalpojums pārvietojas, un noņemiet resolvera politiku, kad laboratorija tiek izbeigta, tā vietā lai atstātu klēpjdatoru, kas norāda uz adresi, kuru tas var sasniegt tikai caur tuneli, kas vairs nepastāv.