DNS ta' OpenVPN fuq il-gateway: dnsmasq u l-ambitu tal-firewall

Ħaddem dnsmasq fl-indirizz tat-tunnel, ippermetti DNS biss mill-ġabra tal-klijenti, imbotta r-resolver, imbagħad ittestja mistoqsijiet diretti u t-tfittxija tal-app stess.

Il-klijenti fit-tunnel jilħqu l-gateway, u l-gateway jilħaq ir-resolver intern, għalhekk id-DNS għandu jaħdem. Ma jaħdimx, għax dawn huma żewġ permessi differenti u servizz DNS li jaħdem hu t-tielet ħaġa. Is-semmiegħ irid jeżisti fuq indirizz li jilħqu l-klijenti, il-firewall irid jippermetti mistoqsijiet lejn dak l-indirizz, u l-klijent irid jingħadlu biex jużah. Li tiftaħ it-tunnel fiż-żewġ direzzjonijiet issolvi l-ewwel tnejn b'aċċident u tħalli t-tielet mhux magħmul.

Is-semmiegħ huwa servizz lokali b'żewġ direzzjonijiet

'Il ġewwa, klijent jibgħat mistoqsija lejn l-indirizz tat-tunnel tal-gateway fuq il-port 53. 'Il barra, id-daemon jgħaddi dik il-mistoqsija lejn l-upstream konfigurat tiegħu. Iż-żewġ nofsijiet iridu jaħdmu, u jonqsu b'modi differenti.

Timeout irrappurtat mill-klijent u timeout li jidher fuq il-gateway mhumiex l-istess ħsara.

Orbot l-indirizz tat-tunnel, mhux kull indirizz

Istanza dnsmasq dedikata għal dan ix-xogħol teħtieġ indirizz ta' smigħ espliċitu, mod ta' rbit li jiflaħ id-dehriet tat-tunnel wara l-bidu, u upstream wieħed ċar. Din hija l-iżgħar verżjoni li nuża:

listen-address=127.0.0.1,10.90.0.1
bind-dynamic
no-resolv
no-hosts
server=192.168.50.53

bind-dynamic torbot l-indirizzi individwali u tlaħħaq ma' meta tun0 jidher aktar tard, li jgħodd fuq host fejn is-servizz VPN jerġa' jibda. Li telenka loopback iżżomm l-għodod lokali jaħdmu mingħajr ma żżid semmiegħ pubbliku. no-resolv tipprevjeni lid-daemon milli jiret upstreams mill-konfigurazzjoni tar-resolver tal-host, u no-hosts tipprevjeni lil din l-istanza milli tippubblika l-fajl hosts tal-gateway. Xejn minn dawn l-għażliet ma jagħti lil ħadd permess biex jistaqsi s-servizz.

Iċċekkja jekk hemmx semmiegħ li diġà jeżisti fuq il-port 53 qabel ma tibda t-tieni daemon, u uża s-sid tal-konfigurazzjoni tad-distribuzzjoni minflok fajl mitluf fid-direttorju żbaljat.

Ippermetti d-dħul tad-DNS, mhux it-transitu tat-tunnel

Ir-regoli tal-firewall li jagħmlu dan jaħdem huma regoli tad-dħul lokali limitati għall-interface tat-tunnel, il-ġabra tal-klijenti, l-indirizz tal-gateway u l-port 53. Żewġ regoli, waħda għal kull protokoll, biżżejjed:

sudo ufw allow in on tun0 proto udp from 10.90.0.0/24 to 10.90.0.1 port 53
sudo ufw allow in on tun0 proto tcp from 10.90.0.0/24 to 10.90.0.1 port 53

Id-DNS jaħdem fuq TCP kif ukoll fuq UDP, għalhekk regola għall-UDP biss tħalli t-tweġibiet kbar ifallu b'mod li jidher intermittenti. Dawn mhumiex ufw route permessi, u m'għandhomx isiru permess wiesa' fuq tun0. L-ordni jgħodd daqs il-kontenut: regola preċedenti li tarmi kull dħul minn tun0 xorta tirbaħ, u li żżid permess taħt tarmi terminali ma joħloq xejn.

Jekk id-DNS tal-gateway issa hu parti mid-disinn, erġa' eżamina dik il-politika preċedenti xjentement u nnota għaliex.

In-nofs tal-upstream huwa triq separata

Il-mistoqsijiet joħorġu mill-gateway mill-indirizz tiegħu stess lejn ir-resolver tal-upstream, għalhekk ir-rotta tal-gateway u l-politika tal-ħruġ lejn dak ir-resolver iridu jippermettu l-iskambju. Din hija regola differenti minn dik li tħalli lill-klijenti jilħqu s-semmiegħ, u tonqos b'sintomu differenti.

Żidx ħruġ tat-tunnel mingħajr restrizzjoni biex it-tweġibiet jaħdmu; it-tweġibiet traċċati ma jeħtiġux dan.

Imbotta l-għażla, imbagħad iċċekkja l-konsenja

Is-server jista' jħabbar ir-resolver lill-klijenti b'għażla mbuttata. Din hija għażla, mhux struzzjoni li s-sistema operattiva trid tobdi:

push "dhcp-option DNS 10.90.0.1"

Klijent Linux mil-linja tal-kmand jista' jeħtieġ l-integrazzjoni tar-resolver tal-maniġer tal-konnessjonijiet tiegħu, u apparat ġestit jista' jeħtieġ profil tal-ġestjoni aġġornat. Ikkonferma r-resolver attiv fuq il-klijent wara li tqabbad minflok tassumi li l-imbuttar ġie applikat. Meta żewġ mekkaniżmi jippruvaw jistabbilixxu d-DNS fl-istess ħin, tikseb tellieqa li tidher bħala riżoluzzjoni li tteptep.

L-għan huwa sid wieħed għall-konfigurazzjoni tar-resolver tal-klijent, u l-imbuttar normalment huwa dak is-sid biss meta l-pjattaforma tal-klijent taqbel.

Ittestja dak li verament bniet

Staqsi isem privat kwalifikat bis-sħiħ u isem estern permess direttament kontra l-indirizz tat-tunnel, fuq UDP u TCP. Imbagħad erġa' agħmel dan permezz tat-triq tat-tfittxija tas-soltu tal-applikazzjoni.

Jekk il-mistoqsijiet diretti jaħdmu u l-applikazzjoni għadha tonqos, il-ħsara tinsab fil-konsenja u mhux fis-server:

  • Il-klijent qatt ma applika l-għażla mbuttata.
  • Resolver ieħor ġie stabbilit aktar tard u rebaħ it-tellieqa.
  • L-applikazzjoni tuża l-librerija tar-resolver tagħha stess jew tweġiba fil-cache.

Iġġielaħ billi tikkonferma li sors barra mill-passaġġ VPN approvat ma jistax juża s-semmiegħ xejn. Riżoluzzjoni tajba ma tawtorizzax l-indirizz li rritornat, allura żomm dawn iż-żewġ mistoqsijiet separati.

Artikli relatati