DNS mibgħut minn OpenVPN jiġi injorat: liema komponent japplikah

Il-log juri l-għażla li bagħat is-server, il-mina hija attiva, u l-ismijiet interni xorta jonqsu. Mistoqsija diretta lir-riżolver twieġeb, għalhekk is-server huwa tajjeb, iżda kull applikazzjoni tibqa’ tistaqsi lir-router lokali. Dak li wasal għand il-klijent hija offerta, mhux bidla fir-riżolver, u l-komponent li jippossjedi r-riżoluzzjoni tal-ismijiet ivarja fuq Linux, Windows u macOS. Malli tissepara l-għażla mill-proprjetarju tagħha, erba’ ħsarat ikopru kważi kull rapport: l-ebda hook, żewġ hooks li jikkompetu, DNS maqsum li jaħdem kif imfassal, jew isem qasir li jeħtieġ suffiss u mhux server.

Għażla mibgħuta hija offerta, mhux installazzjoni

Fuq is-server, żewġ direttivi jiddeskrivu l-intenzjoni, mhux l-effett:

push "dhcp-option DNS 10.8.0.1"
push "dhcp-option DOMAIN corp.example"

Il-klijent ma jirċevix riżolver konfigurat. Jirċievi varjabbli tal-ambjent, foreign_option_1 u oħrajn, waħda għal kull linja mibgħuta, u xi ħaġa lokali trid taqrahom u terġa’ tikteb l-istat tar-riżolver tas-sistema operattiva. Fuq Linux xejn ma jagħmel dan b’mod awtomatiku, u għalhekk server tajjeb u klijent konness xorta jistgħu jsolvu l-ismijiet permezz tal-LAN.

Bejn iż-żewġ trufijiet hemm tliet stadji: il-push irid jasal, il-klijent irid jesponih, u hook irid japplikah. Aqra l-istadju tan-nofs fil-log tal-klijent u l-aħħar wieħed fl-istat tar-riżolver, qatt bil-maqlub, għax linja tal-log tipprova biss l-ewwel tnejn.

Ivverifika li l-push wasal u sib il-proprjetarju

Ibda billi ssemmi l-bidwi: kmand openvpn vojt, istanza systemd, NetworkManager jew klijent tal-fornitur. Dan jiddetermina fejn jista’ jgħix hook. Fuq host b’systemd-resolved, resolvectl status jelenka kull rabta mas-servers DNS u d-dominji tat-tiftix li tassew juża, u r-rabta tal-mina mhix dejjem imsejħa tun0.

Jekk l-indirizz mibgħut jidher fil-log iżda mhux fuq ebda rabta, l-integrazzjoni hija nieqsa. Jekk jidher fuq ir-rabta u l-mistoqsijiet xorta joħorġu band’oħra, il-problema hija liema mistoqsijiet jagħżlu dik ir-rabta. NetworkManager dns=dnsmasq fil-fajl /etc/NetworkManager/NetworkManager.conf iħaddem trażmettitur lokali li japplika DNS maqsum apposta: l-ismijiet fid-dominju VPN imorru għand ir-riżolver VPN, u kull ħaġa oħra żżomm it-triq preċedenti tagħha. Dan l-imġiba tidher bħala ħsara meta kont tistenna li l-influss kollu jiċċaqlaq; iċċekkja l-konfigurazzjonijiet għal kull konnessjoni b’ nmcli connection show "My VPN", fejn ipv4.dns u ipv4.dns-search iżżomm il-valuri wara dak li jirrapporta l-apparat, qabel ma ssejjaħlu miksut. Jekk kull mistoqsija tassew għandha tilħaq ir-riżolver VPN, neħħi dns=dnsmasq minn NetworkManager.conf u erġa’ ibda NetworkManager, li jrodd ir-riżoluzzjoni lill-konfigurazzjonijiet tal-konnessjoni; inkella żżommx id-DNS maqsum u kkoreġi l-lista tad-dominji mibgħuta.

Linux: għaddi l-għażliet lir-riżolver

Il-pakketti tad-distribuzzjoni jfornu hook għal dan, u l-klijent irid ikun awtorizzat biex iħaddmu. Arranġament tipiku fuq host mingħajr systemd-resolved:

script-security 2
up /etc/openvpn/update-resolv-conf
down /etc/openvpn/update-resolv-conf

B’systemd-resolved l-iskritt resov.conf eqdem jista’ ma jbiddel xejn importanti, għax ir-riżolver stub iżomm l-istat għal kull rabta. update-systemd-resolved l-assistent jiddokumenta forma ta’ hook li tuża up-restart u down-pre, li jgħodd meta interfaċċa tgħix itwal minn tentattiv wieħed ta’ konnessjoni. Kull ma tagħżel, komponent wieħed irid jippossjedi l-istat. Iż-żieda ta’ hook mhux relatat ħdejn NetworkManager tagħti żewġ kittieba lill-istess rabta, u r-riżultat imbagħad jiddependi mill-ordni u mhux mill-konfigurazzjoni tiegħek.

Hemm ukoll il-każ fejn NetworkManager injora l-għażla mibgħuta għal kollox sakemm l-indirizz tas-server iddaħħal fil-konfigurazzjonijiet IPv4 tal-konnessjoni, u mbagħad l-istat tar-riżolver wera li kienet qed tintuża. Ta’ min jipprova dan qabel ma terġa’ tikteb skripts, għax iċċaqlaq il-problema minn hook tal-shell għall-profil tal-konnessjoni li diġà jġorr il-mina.

Windows u macOS japplikaw partijiet differenti

Il-klijent Windows tassew jistabbilixxi s-servers DNS tal-adapter VPN, iżda Windows xorta jagħżel interfaċċa bil-metrika u xorta jeħtieġ suffiss biex iwessa’ isem qasir. Ivverifika l-istat tal-adapter u mhux il-profil:

Get-DnsClientServerAddress -InterfaceAlias "My VPN"
Get-DnsClientNrptPolicy

Jekk l-indirizz nieqes, stabbilixxih b’ Set-DnsClientServerAddress -InterfaceAlias "My VPN" -ServerAddresses 10.8.0.1, imbagħad żid is-suffiss mal-proprjetajiet IPv4 tal-adapter sabiex fileserver isir fileserver.corp.example. Valur SearchList tal-magna kollha taħt Tcpip\Parameters jagħmel l-istess. Fejn l-isem twil jiġi solvut u dak vojt le, ir-riżolver diġà tajjeb u l-lista tat-tiftix hija l-ħtija. Il-korrezzjonijiet, fl-ordni: ibgħat DOMAIN sabiex il-klijent jitgħallem is-suffiss, żid dak is-suffiss mal-lista tat-tiftix tal-adapter jew tal-konnessjoni, u bħala miżura temporanja waħħal l-isem f’ hosts, jew LMHOSTS fuq Windows; it-tfittix NetBIOS ma jaqsamx router, u għalhekk ix-xandir li jsib isem qasir fuq il-LAN tal-uffiċċju qatt ma jasal għand klijent tal-mina.

block-outside-dns block-outside-dns hija mġiba tal-klijent Windows, mhux linja tal-profil portabbli, u l-ikkupjar f’profil Linux jew macOS ma jirreproduċihiex hemm. Jekk l-ismijiet pubbliċi jaħdmu u dawk interni jonqsu fuq Windows, qabbel l-ordni tal-adapters taħt Konfigurazzjoni avvanzata ma’ ipconfig /all. Fuq macOS l-ordni tar-riżolvers għal kull servizz tappartjeni lis-sistema, għalhekk uża scutil --dns biex tara liema riżolver jiġi mistoqsi għal liema dominju, u ttratta kull korrezzjoni waħdanija rrapportata tal-profil bħala dipendenti mill-klijent u mhux ġenerali.

Magna virtwali fuq dan il-laptop ma tirritx ma tidherx l-ebda waħda minn dan. Agħti lill-mistieden id-dħul tar-riżolver tiegħu għad-dominju intern, jew ħalli n-NAT tal-hypervisor jgħaddi l-mistoqsijiet tiegħu mill-host, li huwa korrett biss sakemm il-mina tal-host tkun attiva.

L-istorja hija t-tielet kawża. Servers DNS jew konfigurazzjonijiet tas-suffiss minn profil preċedenti jistgħu jgħaddu minn konnessjonijiet mill-ġdid, għalhekk meta l-adapter jidher tajjeb u t-tfittix xorta jonqos, qabbel l-adapter ħaj ma’ Get-VpnConnection u ħassar jew erġa’ ikteb id-dħul skadut qabel ma tmiss is-server.

Uri fejn marret il-mistoqsija

Qabda matul tfittix wieħed issolvi l-argument: tcpdump -ni eth0 port 53 turi mistoqsijiet fuq l-interfaċċa fiżika, li jfisser li qed joħorġu barra mill-mina u r-riżolver qatt ma nbidel. dig @10.8.0.1 name.corp.example imbagħad tissepara ż-żewġ każi li fadal. Jekk il-mistoqsija diretta twieġeb, ir-riżolver jaħdem u l-klijent mhux qed jużah; jekk tiskadi, ir-riżolver mhuwiex aċċessibbli mill-mina u l-ebda bidla lokali mhija se tgħin.

Jekk ir-riżolver li għadu jintuża huwa dak li ta l-fornitur, il-mina tikkripta l-influss waqt li l-ismijiet jibqgħu viżibbli għal dak il-fornitur. Din hija kwistjoni ta’ tnixxija u mhux ta’ funzjoni, u l-istess qabda twieġebha: mistoqsija fuq l-interfaċċa fiżika tmur għand xi ħadd barra mill-mina.

L-aċċessibbiltà tinkludi l-firewall fuq il-host VPN, li għandu jippermetti UDP u TCP 53 mill-pool. Port imblukkat jidher eżatt bħal push miksut, u l-istess riżolver li jwieġeb biss minn ġewwa n-netwerk tal-mina. Erġa’ agħmel il-qabda wara skonnessjoni u konnessjoni mill-ġdid, għax konfigurazzjonijiet li jidhru fl-ewwel konnessjoni u jisparixxu fit-tieni huma ħsara taċ-ċiklu tal-ħajja fil-hook, mhux għażla nieqsa.

Żomm proprjetarju wieħed u ivverifika fl-ordni

Skritt li jerġa’ jikteb id-DNS tal-adapter abbażi ta’ stat tal-mina maħsub jiddoppja konfigurazzjoni li l-profil diġà jġorr, u jonqos bil-kwiet l-ewwel darba li l-preżunzjoni tkun ħażina. Ippreferi l-konfigurazzjonijiet DNS tal-konnessjoni stess jew hook wieħed dokumentat, u notifika liema għażilt sabiex il-persuna li jmiss ma żżidx it-tieni.

Agħlaq iċ-ċirku b’erba’ verifiki: l-indirizz mibgħut preżenti fuq ir-rabta tal-mina, l-isem intern solvut bħala isem kwalifikat kollu, l-istess isem solvut mingħajr is-suffiss, u t-tnejn xorta veri wara konnessjoni mill-ġdid waħda. Qabda waħda tgħidlek liema mill-erbgħa falliet. Il-manwal ta’ OpenVPN 2.6 jelenka dhcp-option u d-direttivi tal-iskritt man-noti tal-pjattaforma tagħhom.