OpenVPN-ийн DNS гарц дээр: dnsmasq ба галт ханы хүрээ

dnsmasq-ыг туннелийн хаяг дээр ажиллуулж, DNS-ийг зөвхөн клиентийн сангаас зөвшөөрч, шийдэгчийг түлхэж, дараа нь шууд асуулга болон аппын өөрийн хайлтыг шалгана уу.

Туннель дээрх клиентүүд гарцанд хүрч, гарц дотоод шийдэгчид хүрдэг тул DNS ажиллах ёстой. Гэвч ажиллахгүй байна, учир нь эдгээр нь хоёр өөр зөвшөөрөл бөгөөд ажилладаг DNS үйлчилгээ нь гурав дахь зүйл юм. Сонсогч нь клиентүүд хүрдэг хаяг дээр байх ёстой, галт хана тэр хаяг руу асуулгыг зөвшөөрөх ёстой, клиентэд түүнийг ашиглахыг хэлэх ёстой. Туннелийг хоёр чиглэлд нээх нь эхний хоёрыг санамсаргүйгээр шийдэж, гурав дахь нь дуусаагүй үлдээдэг.

Сонсогч нь хоёр чиглэлтэй локал үйлчилгээ

Дотогш чиглэлд клиент гарцын туннелийн хаяг руу 53 порт дээр асуулга илгээдэг. Гадагш чиглэлд демон тэр асуулгыг өөрийн тохируулсан дээд урсгал руу дамжуулдаг. Хоёр хагас хоёулаа ажиллах ёстой бөгөөд тэд өөр өөр аргаар бүтэлгүйтдэг.

Клиентийн мэдээлсэн хугацаа дуусах ба гарц дээр харагдах хугацаа дуусах нь нэг алдаа биш.

Туннелийн хаягийг холбоно уу, бүх хаягийг биш

Энэ ажилд зориулсан dnsmasq хувилбарт тодорхой сонсох хаяг, эхэлсний дараа туннель гарч ирэхийг тэсвэрлэх холболтын горим, нэг тодорхой дээд урсгал хэрэгтэй. Энэ бол миний ашигладаг хамгийн жижиг хувилбар:

listen-address=127.0.0.1,10.90.0.1
bind-dynamic
no-resolv
no-hosts
server=192.168.50.53

bind-dynamic тусдаа хаягуудыг холбож, tun0 дараа нь гарч ирэхэд зохицуулдаг, энэ нь VPN үйлчилгээ дахин эхэлдэг хост дээр чухал. loopback-ийг жагсаах нь нийтийн сонсогч нэмэхгүйгээр локал хэрэгслүүдийг ажиллуулдаг. no-resolv демоныг хостын шийдэгчийн тохиргооноос дээд урсгалыг өвлөхөөс сэргийлж, no-hosts энэ хувилбарыг гарцын hosts файлыг нийтлэхээс сэргийлдэг. Эдгээр сонголтын аль нь ч хэнд ч үйлчилгээгээс асуух зөвшөөрөл өгдөггүй.

Хоёр дахь демон эхлүүлэхийн өмнө 53 порт дээр аль хэдийн байгаа сонсогч байгаа эсэхийг шалгаад, буруу хавтас дахь төөрсөн файлын оронд түгээлтийн тохиргооны эзэмшигчийг ашиглана уу.

DNS-ийн оролтыг зөвшөөрөх, туннелийн дамжуулалтыг биш

Үүнийг ажиллуулдаг галт ханы дүрмүүд нь туннелийн интерфэйс, клиентийн сан, гарцын хаяг, 53 портоор хязгаарлагдсан локал оролтын дүрмүүд юм. Протокол бүрд нэгээр, хоёр дүрэм хангалттай:

sudo ufw allow in on tun0 proto udp from 10.90.0.0/24 to 10.90.0.1 port 53
sudo ufw allow in on tun0 proto tcp from 10.90.0.0/24 to 10.90.0.1 port 53

DNS нь UDP-ийн зэрэгцээ TCP-ээр ч ажилладаг тул зөвхөн UDP-ийн дүрэм том хариултуудыг үе үе мэт харагдах байдлаар бүтэлгүйтэхэд үлдээдэг. Эдгээр нь ufw route зөвшөөрөл биш бөгөөд тэд tun0 дээр өргөн зөвшөөрөл болох ёсгүй. Дараалал нь агуулгатай адил чухал: tun0 -аас бүх оролтыг хаядаг өмнөх дүрэм ялсаар байх бөгөөд эцсийн хасалтын доор зөвшөөрөл нэмэх нь юу ч үүсгэхгүй.

Хэрэв гарцын DNS одоо дизайны нэг хэсэг бол тэр өмнөх бодлогыг санаатайгаар хянаж, шалтгааныг бичнэ үү.

Дээд урсгалын хагас нь тусдаа зам

Асуулгууд гарцаас өөрийн хаягаар дээд урсгалын шийдэгч рүү гардаг тул гарцын маршрут болон тэр шийдэгч рүү чиглэсэн гаралтын бодлого солилцоог зөвшөөрөх ёстой. Энэ нь клиентүүдийг сонсогч руу нэвтрүүлдэг дүрмээс өөр дүрэм бөгөөд өөр шинж тэмдгээр бүтэлгүйтдэг.

Хариултууд ажиллахын тулд хязгааргүй туннелийн гаралт нэмэх хэрэггүй; хянагдаж буй хариултуудад энэ хэрэггүй.

Сонголтыг түлхээд, дараа нь дамжуулалтыг шалгана уу

Сервер шийдэгчийг клиентүүдэд түлхсэн сонголтоор зарлаж болно. Энэ нь сонголт бөгөөд үйлдлийн систем заавал дагах заавар биш:

push "dhcp-option DNS 10.90.0.1"

Linux командын мөрийн клиентэд өөрийн холболтын менежерийн шийдэгчийн интеграц хэрэгтэй байж болох бөгөөд удирдлагатай төхөөрөмжид шинэчилсэн удирдлагын профайл хэрэгтэй байж болно. Холбогдсоны дараа клиент дээрх идэвхтэй шийдэгчийг батлаарай, түлхэлт хэрэглэгдсэн гэж таамаглахын оронд. Хоёр механизм нэгэн зэрэг DNS тогтоохыг оролдоход анивчиж буй шийдэл мэт харагдах уралдаан үүсдэг.

Зорилго нь клиентийн шийдэгчийн тохиргооны нэг эзэмшигч бөгөөд түлхэлт нь ихэвчлэн тэр эзэмшигч болдог зөвхөн клиентийн платформ зөвшөөрсөн үед.

Та үнэхээр юу бүтээснээ шалгаарай

Нэг хувийн бүрэн мэргэшсэн нэр болон нэг зөвшөөрөгдсөн гадаад нэрийг туннелийн хаяг руу шууд, UDP болон TCP-ээр асууна уу. Дараа нь аппын ердийн хайлтын замаар давтана уу.

Шууд асуулгууд ажиллаж, апп ажиллахгүй хэвээр байвал алдаа нь серверт биш, дамжуулалтад байна:

  • Клиент түлхсэн сонголтыг хэзээ ч хэрэглээгүй.
  • Дараа нь өөр шийдэгч тогтоогдож, уралдаанд ялсан.
  • Апп өөрийн шийдэгчийн сан эсвэл кэшлэсэн хариултыг ашигладаг.

Зөвшөөрөгдсөн VPN замаас гадуурх эх сурвалж сонсогчийг огт ашиглаж чадахгүй гэдгийг баталж дуусгана уу. Амжилттай шийдэл нь буцаасан хаягт эрх олгохгүй тул эдгээр хоёр асуултыг тусад нь байлгаарай.

Холбоотой нийтлэлүүд