Beri VPN rumah anda rekod DNS sendiri untuk nas.home.arpa
Terbitkan satu nama daripada dnsmasq, halakan resolver melalui WireGuard, kemudian pilih antara menolak DNS kepada seluruh klien dan split-DNS hanya untuk home.arpa.
Setelah terowong naik, langkah terakhir biasanya nama yang berfungsi dan bukan alamat yang anda tampal ke penanda buku. Rekod hos dnsmasq serta alamat resolver yang boleh dicapai klien melakukannya dengan dua fail dan tanpa multicast. Keputusan yang benar-benar perlu difikirkan lebih sempit: adakah klien menghantar semua DNS melalui resolver rumah, atau hanya nama di bawah home.arpa? Semua di bawah menganggap pemasangan WireGuard yang diluluskan dengan klien Linux dan resolver makmal yang sudah diuruskan oleh pentadbir rumah.
Tiga cara memberi klien resolver
| Approach | Scope | Cost |
|---|---|---|
DNS = in the wg-quick interface | the client's general DNS while the tunnel is up | every name in the house now depends on the tunnel |
Platform split-DNS for home.arpa | only that suffix | more configuration per client platform |
Manual dig @resolver | one query at a time | fine for testing, useless for applications |
Bagi komputer riba yang menyertai terowong sekali-sekala, split-DNS ialah lalai yang lebih baik: ia mengekalkan nama internet biasa pada resolver yang sudah dipercayai mesin. Bagi mesin yang wujud untuk mencapai perkhidmatan rumah, menolak resolver lebih mudah dan kos skop tidak penting.
Terbitkan rekod pada resolver yang memiliki zon
Asingkan peranan sebelum menulis konfigurasi: alamat klien VPN, resolver dan perkhidmatan ialah tiga hos berbeza dengan tiga tugas berbeza. Dalam makmal ini iaitu 10.77.0.2 untuk klien, 192.168.50.53 untuk dnsmasq dan 192.168.50.20 untuk NAS, dengan terowong menghalakan LAN rumah.
listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20Baris host-record membekalkan alamat dan baris local= menahan soalan home.arpa yang tidak dikenali di dalam resolver ini dan bukan memajukannya ke hulu. Baca dahulu konfigurasi sedia ada anda dan selaraskan apa-apa yang sudah mentakrifkan pelayan, antara muka atau domain tempatan yang sama; menyusun serpihan di atas yang bercanggah menghasilkan resolver yang dimuatkan dengan gembira dan menjawab dengan salah. Manual dnsmasq mentakrifkan kedua-dua arahan dan kawalan mendengar.
Kemudian sahkan perkhidmatan yang berjalan, bukan fail. Ujian konfigurasi serta mula semula ialah minimum, dan jawapan berkesan ialah apa yang dikembalikan oleh pertanyaan.
Halakan resolver, bukan hanya halaman web
AllowedIPs WireGuard menentukan destinasi mana yang masuk ke terowong. Jika alamat resolver terletak di luarnya, pertanyaan keluar melalui laluan biasa dan tidak pernah sampai ke dnsmasq, walaupun NAS itu sendiri boleh dicapai. Sertakan alamat resolver, atau awalan LAN yang mengandunginya, dan semak dasar penghantaran get di sebelah sana.
Benarkan UDP dan TCP pada port 53 daripada julat terowong yang dibenarkan, dengan laluan balik ke alamat terowong klien. Jangan majukan port 53 daripada WAN untuk memudahkan ujian: resolver rekursif terbuka pada sambungan rumah ditemui dalam beberapa jam. Mengikat pada antara muka bukan dasar akses dengan sendirinya.
Semak jawapan sebelum aplikasi
Tanya resolver secara terus dahulu, kemudian sistem, kemudian aplikasi. Setiap langkah mengasingkan satu rantai, dan perbezaan antaranya ialah diagnosis.
dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'Pertanyaan TCP wajar dijalankan kerana jawapan UDP yang terpotong memaksa cubaan semula, dan dasar yang membuang TCP 53 menghasilkan kegagalan yang kelihatan berselang. Langkah getent menunjukkan apa yang sebenarnya dilakukan oleh konfigurasi resolver mesin, yang tidak semestinya apa yang anda tolak.
Tentukan apa yang berlaku apabila terowong turun
Jika DNS umum klien menunjuk ke 192.168.50.53, semua penyelesaian nama berhenti berfungsi apabila terowong tidak naik. Itu boleh diterima pada mesin yang hanya berguna dengan terowong, dan tidak boleh diterima pada komputer riba yang juga menggunakan Wi-Fi kafe. Split-DNS mengelak soalan itu sepenuhnya, kerana hanya carian home.arpa bergantung pada resolver rumah.
Ingat apa nama itu: home.arpa dikhaskan untuk rangkaian kediaman dan tidak unik secara global, jadi rangkaian lain boleh menggunakan nama yang sama secara sah. Ia kemudahan tempatan, bukan pengecam yang boleh dipercayai. Kekalkan rekod terkini apabila perkhidmatan berpindah, dan buang dasar resolver apabila makmal bersara dan bukan meninggalkan komputer riba yang menunjuk ke alamat yang hanya boleh dicapainya melalui terowong yang tidak lagi wujud.