Agħti lill-VPN tad-dar tiegħek ir-rekords DNS tiegħu stess għal nas.home.arpa
Ippubblika isem wieħed minn dnsmasq, idderieġi r-resolver permezz ta' WireGuard, imbagħad agħżel bejn li timbotta d-DNS lill-klijent kollu u split-DNS għal home.arpa biss.
Ladarba t-tunnell ikun 'il fuq, l-aħħar pass normalment huwa isem li jaħdem minflok indirizz li tippejstja f'bookmark. Rekord host ta' dnsmasq flimkien ma' indirizz tar-resolver li l-klijent jista' jilħaq jagħmlu dan b'żewġ fajls u mingħajr multicast. Id-deċiżjoni li tassew teħtieġ ħsieb hija eqreb: il-klijent jibgħat id-DNS kollu mir-resolver tad-dar, jew biss l-ismijiet taħt home.arpa? Kollox hawn taħt jassumi installazzjoni approvata ta' WireGuard b'klijent Linux u resolver tal-laboratorju li l-amministratur tad-dar diġà jamministra.
Tliet modi kif tagħti lill-klijent resolver
| Approach | Scope | Cost |
|---|---|---|
DNS = in the wg-quick interface | the client's general DNS while the tunnel is up | every name in the house now depends on the tunnel |
Platform split-DNS for home.arpa | only that suffix | more configuration per client platform |
Manual dig @resolver | one query at a time | fine for testing, useless for applications |
Għal laptop li jingħaqad mat-tunnell kultant, split-DNS huwa l-aħjar default: iżomm l-ismijiet ordinarji tal-internet fuq ir-resolver li l-magna diġà tafda. Għal magna li teżisti biex tilħaq is-servizzi tad-dar, li timbotta r-resolver huwa aktar sempliċi u l-ispiża tal-ambitu ma tinteressax.
Ippubblika r-rekord fuq ir-resolver li jippossjedi ż-żona
Żomm ir-rwoli separati qabel tikteb konfigurazzjoni: l-indirizz tal-klijent VPN, ir-resolver u s-servizz huma tliet hosts differenti b'tliet xogħlijiet differenti. F'dan il-laboratorju huma 10.77.0.2 għall-klijent, 192.168.50.53 għal dnsmasq u 192.168.50.20 għan-NAS, bit-tunnell jidderieġi l-LAN tad-dar.
listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20Il-linja host-record tipprovdi l-indirizz u l-linja local= iżżomm mistoqsijiet mhux magħrufa ta' home.arpa ġewwa dan ir-resolver minflok ma tibgħathom 'il fuq. Aqra l-konfigurazzjoni eżistenti tiegħek l-ewwel u rrikonċilja kull ma diġà jiddefinixxi server, interface jew l-istess domin lokali; li tistiva framment fuq wieħed konfliġġenti jipproduċi resolver li jitgħabba bil-ferħ u jwieġeb ħażin. Il-manwal ta' dnsmasq jiddefinixxi ż-żewġ direttivi u l-kontrolli tas-smigħ.
Imbagħad ivverifika s-servizz li qed jaħdem, mhux il-fajl. Test tal-konfigurazzjoni flimkien ma' restart huwa l-minimu, u t-tweġiba effettiva hija dak li tirritorna mistoqsija.
Idderieġi r-resolver, mhux biss il-paġna web
AllowedIPs ta' WireGuard jiddeċiedi liema destinazzjonijiet jidħlu fit-tunnell. Jekk l-indirizz tar-resolver jaqa' barra minnu, il-mistoqsija toħroġ mir-rotta normali u qatt ma tilħaq dnsmasq, għalkemm in-NAS innifsu huwa aċċessibbli. Include l-indirizz tar-resolver, jew il-prefiss LAN li jkun fih, u iċċekkja l-politika tal-indirizzar tal-gateway fuq in-naħa l-oħra.
Ħalli UDP u TCP fuq port 53 mill-firxa tat-tunnell awtorizzata, b'rotta lura lejn l-indirizz tat-tunnell tal-klijent. Tindirizzax il-port 53 mill-WAN biex tiffaċilita t-testijiet: resolver rikorsiv miftuħ fuq konnessjoni tad-dar jinstab fi ftit sigħat. Li torbot ma' interface mhix politika ta' aċċess waħedha.
Iċċekkja t-tweġiba qabel l-applikazzjoni
Staqsi lir-resolver direttament l-ewwel, imbagħad lis-sistema, imbagħad lill-applikazzjoni. Kull pass jiżola ħolqa waħda fil-katina, u d-differenza bejniethom hija d-dijanjosi.
dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'Jiswa li tħaddem il-mistoqsija TCP għax tweġiba UDP maqtugħa ġġiegħel tentattiv mill-ġdid, u politika li tarmi TCP 53 tipproduċi fallimenti li jidhru intermittenti. Il-pass getent juri x'inhuma tabilħaqq tagħmel il-konfigurazzjoni tar-resolver tal-magna, li mhux dejjem dak li imbuttajt.
Iddeċiedi x'jiġri meta t-tunnell ikun 'l isfel
Jekk id-DNS ġenerali tal-klijent jindika 192.168.50.53, kull riżoluzzjoni tal-ismijiet tieqaf taħdem meta t-tunnell mhuwiex 'il fuq. Dan huwa aċċettabbli fuq magna li hija utli biss mat-tunnell, u mhux aċċettabbli fuq laptop li juża wkoll il-Wi-Fi tal-kafetterija. Split-DNS jevita l-mistoqsija għal kollox, għax biss it-tiftixiet ta' home.arpa jiddependu mir-resolver tad-dar.
Ftakar x'inhu l-isem: home.arpa huwa riżervat għal netwerks residenzjali u mhuwiex uniku globalment, allura netwerk ieħor jista' legalment juża l-istess isem. Hija konvenjenza lokali, mhux identifikatur affidabbli. Żomm ir-rekord aġġornat meta s-servizz jiċċaqlaq, u neħħi l-politika tar-resolver meta l-laboratorju jirtira minflok ma tħalli laptop jindika lejn indirizz li jista' jilħaq biss permezz ta' tunnell li m'għadux jeżisti.