Яагаад чиглүүлэгчийн өөрийн DNS нь VPN туннелийг тойрч гардаг вэ?

Клиентийн асуулга туннелийг дагадаг бол чиглүүлэгчийн өөрийн асуулга WAN-аар гардаг бөгөөд нэгийг нь удирддаг галт хананы дүрэм нөгөөд нь ямар ч нөлөөгүй. Учир нь алдаа биш: дамжуулсан хүсэлт ба чиглүүлэгч өөрөө үүсгэсэн хүсэлт нь хоёр тусдаа урсгал бөгөөд тус бүр нь тохиргооны өөр хэсэгтэй тулгагддаг. Зөвхөн клиентийн хагасыг бичихэд нөгөө хагас нь хэзээ ч ашигладаггүй зам тухай итгэлтэй хариулт гарна. Залруулга нь чиглүүлэгчийн шийдэгчийг санаатайгаар чиглүүлээд, дараа нь хоёр замыг тус тусад нь шалгах явдал.

Пакет бичилт нь үнэндээ аль урсгалд хамаарах вэ

Нэг асуулга хоёр солилцоог агуулна. LAN клиент чиглүүлэгчийн шийдэгч рүү асуулга илгээдэг бөгөөд энэ нь LAN интерфейс дээр дамжуулсан урсгал хэлбэрээр ирдэг тул дамжуулсан пакетуудад зориулж бичсэн бодлогын зам эсвэл NAT дүрэм түүнтэй таарах боломжтой. Дараа нь чиглүүлэгч кэшээс хариулна, эсвэл бичлэг байхгүй бол дээш чиглэсэн сервер рүү өөрийн асуулгыг нээнэ.

Тэр хоёр дахь асуулгын эх сурвалж нь чиглүүлэгч өөрөө, очих газар нь ч өөрөө, платформ нь түүний замыг өөр тохиргооны блокоос сонгоно. Хоёр солилцоо ижил нэрийг агуулж, аль нь ч нөгөөгийнхөө хуулбар биш. Тиймээс LAN талд авсан бичилт нь клиентийн пакет хаашаа явсныг нотолж, гадагш гарч буй пакет тухай юу ч хэлэхгүй.

Практик шалгалт нь хоёр талыг нэгэн зэрэг ажиглах явдал. Чиглүүлэгч дээр шийдэгчийн сокетыг жагсааж, түүнээс локалаар асуугаад WAN интерфейсийг бичнэ үү:

sockstat -4 -l | grep :53
dig +short @127.0.0.1 example.com
tcpdump -ni igb0 udp port 53

Хэрэв сокетын жагсаалт loopback эсвэл LAN хаягт холбогдсон сонсогчийг харуулбал чиглүүлэгч өөр хост руу дамжуулахын оронд локалаар хариулж байна. Дараа нь бичилт нь үүссэн дээш чиглэсэн асуулга туннелийн интерфейсээр эсвэл WAN-аар гарч байгааг харуулах бөгөөд энэ нь бодлогын замын дүрэм хэзээ ч өгөхгүй байсан хариулт юм.

Яагаад бодлогын зам хоёр дахь асуулгыг хэзээ ч хардаггүй вэ

Галт хананы дүрмүүд интерфейс, эх сурвалж, очих газар, портод зориулж бичигддэг бөгөөд төхөөрөмжөөр дамжин өнгөрөх пакетуудад үнэлэгддэг. Чиглүүлэгчийн үүсгэсэн асуулга юугаар ч дамждаггүй, учир нь локал процесс үүнийг шууд маршрутын хүснэгтэд өгдөг. Бодлогын маршрутлал ба NAT тиймээс зөвхөн дамжуулсан замд хамаарах бөгөөд яг үүнээс болж дүрмийн багц бүрэн харагдаж байсан ч чиглүүлэгчийн DNS-ийг туннелийн гадна үлдээж болно.

Энэ ялгаа нь прошивка бүрэн дахин бичигдсэний дараа ч хадгалагддаг, учир нь энэ нь функцээс биш, пакетын замаас үүсдэг. Төхөөрөмж өөртөө зориулж үүсгэдэг бүхэн — шийдэгчийн асуулга, цаг синхрончлол, шинэчлэлтийн шалгалт эсвэл пакетын толь руу нэвтрэх — локал гаралтай бөгөөд мөн тэр сохор цэгт унадаг. Тиймээс зөөврийн компьютерээс хийсэн шалгалт чиглүүлэгчийн тухай юу ч нотлохгүй.

pfSense шийдэгч өөрийн дээш чиглэсэн замыг хаана тодорхойлдог вэ

pfSense энэ хуваагдлыг харагдахуйц болгодог. Клиентийн урсгалыг бодлогоор VPN гарцаар дамжуулж болох бол галт хананы өөрийн урсгал нь LAN дүрмийг биш, шийдэгчийн гарах тохиргоог дагадаг. Вэб интерфейс дээр тэр тохиргоо Services > DNS Resolver > Outgoing Network Interfaces-ийн доор байрладаг бөгөөд түүний утга нь шийдэгч дээш чиглэсэн асуулгад ашиглаж болох интерфейсүүдийн жагсаалт юм.

Тэнд туннелийн интерфейсийг нэрлэх, зөвхөн тэр интерфейсийг нэрлэх нь чиглүүлэгчийн өөрийн асуулгыг туннелийг дагахад хүргэдэг. Өгөгдмөлд үлдээвэл шийдэгч маршрутын хүснэгтээс гарцыг сонгодог бөгөөд хоёр WAN эсвэл VPN бүхий хост дээр энэ нь ихэвчлэн WAN байдаг.

Бусад прошивка ижил шийдвэрийг өөр шошгон дор харуулдаг: эх хаягт холбогдсон дээш чиглэсэн серверүүдийн жагсаалт, зөвхөн дамжуулах горим эсвэл баримтжуулсан маршрутын бодлого. Хайх ёстой тохиргоо нь үргэлж локалаар үүсгэсэн асуулгад гарц эсвэл эх сурвалжийг сонгодог тохиргоо юм. Шийдэгчийн тохиргооны лавлах pfSense-ийн хувьд тэр сонголтыг баримтжуулсан бөгөөд өөрчлөлтийн өмнө унших нь зүйтэй.

Тохиргооноос өмнө доголдлын зан төлөвийг сонгоно уу

Туннель унах үед хоёр зан төлөв хамгаалагдах боломжтой: юу ч гоожихгүйн тулд дээш чиглэсэн асуулгыг зогсоох, эсвэл мэдэгдэж буй зам дээр зөвшөөрөгдсөн шийдэгч рүү буцах. Хоёулаа бодлого бөгөөд өгөгдмөлөөр аль нь ч олддоггүй. Интерфейсийн жагсаалтад хүрэхээс өмнө сүлжээнд аль нь хэрэгтэйг шийдээрэй.

Доголдол үед хаагдах нь хамгаалахад хялбар боловч туннель тасрахыг чиглүүлэгчийн ард байгаа бүх төхөөрөмжийн нэр шийдвэрлэх тасалдал болгоно. Буцалт нь оффисыг ашиглах боломжтой байлгадаг ч туннелийн гаднах дээш чиглэсэн солилцооны үнээр, тэр нь санамсаргүй бус санаатайгаар хүлээн зөвшөөрөгдөх ёстой. Сонголтоо бичиж үлдээгээрэй, учир нь VPN-ээс гаднах шийдэгчийн хаягийг харсан дараагийн хүн тэмдэглэл өөрөөр хэлэхгүй бол түүнийг гоожилт гэж уншина. Яг тэр тэмдэглэл нь баримтжуулсан буцалтыг дараа улирлын хяналт дахь тайлбаргүй олдвороос ялгадаг.

Хоёр тохиолдол шийдвэрийг хүндрүүлдэг. Хувийн нэрсэд туннель хүрч чадах дотоод шийдэгч хэрэгтэй байж болох бөгөөд өөрийн шифрлэгдсэн DNS-тэй хөтөч эсвэл апп чиглүүлэгчийг бүрэн тойрч чаддаг тул таны тохируулсан шийдэгч нь тухайн апп-ын ашигладаг шийдэгч байх албагүй.

Хоёр замыг шалгаж, үр дүнг тус тусад нь хадгал

Хөтөч дээрх DNS шалгалт нь нарийн асуултад хариулдаг: тэр шалгалтын нөхцөлд тэр хөтөч ямар шийдэгч ашигласан бэ. Энэ нь сүлжээн дэх төхөөрөмжүүдийн тооллого хийдэггүй бөгөөд чиглүүлэгч өөртөө зориулж үүсгэсэн асуулгыг харж чадахгүй. Түүний гаралтыг аудит биш, нэг өгөгдлийн цэг гэж үзээрэй.

LAN клиентээс чиглүүлэгчээс эхлээд нийтийн нэр, дараа нь зөвхөн таны дотоод бүс хариулах ёстой хувийн нэр асууна уу. Зөвхөн хоёр дахь асуулгад гарсан алдаа нь туннель биш, нэр дамжуулалтыг заана:

dig @192.168.1.1 example.com
dig @192.168.1.1 intranet.example.lan

Дараа нь туннелийг буулгаад хоёр асуулгыг давтана уу. Татгалзсан хариулт нь шийдэгч доголдол үед хаагддаг гэсэн үг; амжилттай хариулт нь нөөц шийдэгч ба түүний ашигласан замыг заана. Үүнийг өөрийн бичсэн тэмдэглэл болон мөн тэр минутад WAN интерфейс дээр авсан бичилттэй харьцуул.

Бүртгэлд ажиглалтуудыг тус тусад нь хадгал: клиент ба чиглүүлэгчийн солилцоо, чиглүүлэгч ба дээш чиглэсэн серверийн солилцоо, хоёр дахьыг шийдсэн тохиргоо. Дараагийн маршрутын өөрчлөлт тэр хоёр дахь солилцоог анхааруулгагүйгээр ажиллуулна. VPN-ийн төгсгөлийн цэгээс өөр газраас ирсэн хариулт нь өөрөө гоожилт биш; тохиргоо тэр замыг санамсаргүйгаар сонгосон үед л гоожилт болно.