Ibgħat il-klijenti OpenVPN lejn resolver Pi-hole fuq host ieħor

It-tqegħid ta' indirizz Pi-hole fi profil OpenVPN ma joħloqx triq lejh, ma jagħtix permess biex tistaqsi dwaru u ma jiggarantixxix li l-klijent jużah. Meta Pi-hole jkun fuq magna LAN separata, erba' affarijiet iridu jaqblu: it-triq mill-klijent, it-trażmissjoni mill-gateway, it-triq tar-ritorn lejn il-pool u l-politika ta' riċeviment fuq Pi-hole stess. Kull falliment jidher differenti f'log. Li tgħaddi minnhom f'dan l-ordni huwa aktar mgħaġġel milli tissewwi l-aħħar wieħed l-ewwel. Is-shortcut tas-soltu, li tiftaħ ir-rekursion għal kull oriġini, tibdel problema żgħira ma' waħda permanenti.

X'jagħmel u x'ma jagħmilx l-opzjoni DNS mibgħuta

Is-server jirreklama resolver bid-direttiva hawn taħt, jassumi li 192.168.50.53 huwa l-host Pi-hole. Il-klijent jirċievi l-opzjoni u, skont il-pjattaforma u l-integrazzjoni tar-resolver , japplikaha lill-interface tat-tunnel jew jinjoraha favur stub lokali. Il-linja tar-rotta timporta daqs il-linja DNS, għax resolver li l-klijent ma jistax jasal għalih mhuwiex resolver xejn. Xejn minn dan ma jidher min-naħa tas-server.

server 10.90.0.0 255.255.255.0
push "dhcp-option DNS 192.168.50.53"
push "route 192.168.50.0 255.255.255.0"

Li tirċievi opzjoni mhix l-istess bħal li tużaha. Klijent Linux b'manager tar-resolver jista' jaċċetta s-server mibgħut u jibgħat lilu biss ċerti dominji; klijent li jamministra d-DNS innifsu jista' jikteb fuq is-setting kollu. Ir-rotot mibgħuta huma wkoll ristretti fuq xi pjattaformi, li jħalli r-resolver mhux aċċessibbli minkejja li l-opzjoni ġiet aċċettata. Iċċekkja fuq il-klijent liema server iwieġeb, mhux fuq is-server x'intbagħat.

L-opzjoni lanqas tgħid xejn dwar in-naħa tas-server. It-traffiku DNS xorta jrid jivvjaġġa mill-klijent sal-gateway u mill-gateway sa Pi-hole qabel ma xi opzjoni timporta. Rotta nieqsa u mistoqsija miċħuda jidhru l-istess mill-klijent, għalhekk l-ewwel ikkonferma t-trażmissjoni fuq il-gateway.

It-triq tar-ritorn minn Pi-hole lejn il-pool

Jekk l-indirizz tas-sors tal-klijent jinżamm, Pi-hole iwieġeb għal indirizz ġewwa l-pool VPN. It-tabella tar-routing tiegħu stess x'aktarx ma tafx xejn dwar dak il-pool, għalhekk it-tweġiba tmur għall-gateway default tiegħu u tisparixxi. Il-log tal-mistoqsijiet juri talba mingħajr tweġiba li taqbel, li huwa faċli li tiġi interpretata ħażin bħala problema tal-firewall.

Agħti lir-router tal-LAN rotta statika għall-pool bil-gateway OpenVPN bħala l-hop li jmiss, jew ittraduċi s-sors fuq il-gateway qabel ma tgħaddi lejn Pi-hole. L-ewwel waħda żżomm l-indirizzi ta' kull klijent viżibbli fil-log tal-mistoqsijiet ta' Pi-hole. It-tieni tneħħi l-ħtieġa ta' rotta tar-ritorn iżda tagħmel kull mistoqsija tidher bħallikieku ġiet mill-gateway. Xejn mhu ħażin; iwieġbu mistoqsijiet differenti.

Jekk ir-rappurtar jew il-politika għal kull klijent timporta, ir-rotta statika hija l-iskambju aħjar. Jekk il-LAN hija amministrata minn xi ħadd ieħor u rotta mhix disponibbli, it-traduzzjoni hija l-għażla pragmatika, bit-telf tal-identità tal-klijent miktub. Innota liema għażilt, għax kull mistoqsija aktar tard dwar il-logs tiddependi minnha.

Il-mod ta' smigħ ta' Pi-hole għall-klijenti rrutati

Il-lista drop-down tal-imġieba tas-smigħ tal-interfaces, fil-paġna tas-settings taħt DNS, tiddeċiedi liema sorsi Pi-hole iwieġeb. L-aktar għażla stretta taċċetta biss klijenti fuq netwerks imqabbda direttament; l-għażla li tippermetti apparati mhux aktar minn hop 'il bogħod testendiha għal subnets wara router maġenb, u hekk jidher klijent VPN rrutat. Il-pakkett tassew jasal fuq l-interface LAN, iżda l-indirizz tas-sors tiegħu jappartjeni għal subnet differenti. Dan huwa rifjut ta' politika, mhux falliment ta' routing, u d-differenza timporta meta taqra l-logs.

Il-gwida ta' Pi-hole għall- smigħ tifred is-sorsi mqabbda lokalment mill-oriġini rrutati, u l-interface tal-wasla mhijiex il-kriterju. Agħżel mod li jippermetti l-pool VPN mingħajr ma jippermetti l-internet kollu, imbagħad għaqqdu ma' regola tal-firewall li taċċetta DNS biss mill-pool.

Li tiftaħ ir-rekursion għall-oriġini kollha biex taħdem l-ewwel mistoqsija hija t-tiswija ħażina. Tibdel resolver privat f'wieħed miftuħ, u t-tiswija hija permess limitat, mhux wieħed globali.

Qabbel it-tweġiba mal-log tal-mistoqsijiet

Staqsi lill-klijent, imbagħad iċċekkja s-server u qabbel it-tnejn. Fuq klijent systemd-resolved il-kmandi hawn taħt jirrappurtaw liema resolver ipproduċa tweġiba u liema servers huma kkonfigurati għal kull konnessjoni. Uża isem li jaf biss Pi-hole, għax mistoqsija diretta lejn l-indirizz Pi-hole tipprova l-aċċessibilità, mhux il-konfigurazzjoni.

resolvectl query intranet.example.lan
resolvectl dns

It-tweġiba mistennija ssemmi 192.168.50.53 bħala server u tirritorna indirizz li jaf biss dak ir-resolver. Imbagħad ħares lejn il-veduta ta' Pi-hole stess: pihole -t issegwi l-log tal-mistoqsijiet direttament, u kull linja ġġorr l-indirizz tas-sors. Jekk is-sors huwa l-indirizz tat-tunnel tal-klijent, ir-rotta tal-pool hija intatta. Jekk huwa l-indirizz LAN tal-gateway, it-traduzzjoni tas-sors hija fil-logħba u l-indirizz tal-klijent stess qatt mhu se jidher.

Jekk fil-log ma jidher xejn, il-mistoqsija qatt ma waslet sa Pi-hole u l-ħaġa li jmiss li trid tiġi ċċekkjata hija t-trażmissjoni fuq il-gateway. Jekk il-mistoqsija tidher u l-ebda tweġiba ma tiġi lura, il-problema hija t-triq tar-ritorn, jiġifieri t-taqsima preċedenti. Li tifred il-falliment b'dan il-mod iżomm żball ta' routing milli jiġi miżjud ma' regola tal-firewall.

Iċċekkja r-regola tat-trażmissjoni tal-gateway

Il-gateway irid jgħaddi l-pakketti DNS tal-klijent lejn Pi-hole, u r-regola li tagħmel dan jistħoqilha tinqara minflok ma tiġi preżunta. Il-kmandi hawn taħt jelenkaw ir-regoli li jmissu l-port 53 bil-counters, fuq host nftables u fuq host iptables. Regola li teżisti iżda turi żero matchs hija s-sinjal li t-traffiku qed jiġi miċħud qabel ma jiġi tradott.

sudo nft list ruleset | grep -A3 'dport 53'
sudo iptables -t nat -L POSTROUTING -n -v | grep 53

Aqra l-counters, mhux biss ir-regoli. Regola li qatt ma taqbel tfisser li l-pakkett joħroġ minn interface ieħor, jew li l-klijent qatt ma bagħtu. Regola li taqbel f'kull mistoqsija tfisser li t-trażmissjoni taħdem u li l-problema hija aktar 'il bogħod fit-triq.

Liema għodda tuża l-host, żomm l-iċċekkjar dejjaq: il-pool bħala sors, il-port 53 bħala destinazzjoni u Pi-hole bħala l-unika mira permessa. Regola wiesgħa ta' trażmissjoni li tippermetti wkoll il-port 80 hija problema oħra li qed tistenna biex isseħħ.