Għaliex id-DNS tar-router innifsu jgħaddi minn ġenb il-mina VPN?

It-tfittxijiet tal-klijenti jsegwu l-mina filwaqt li t-tfittxijiet tar-router innifsu joħorġu mill-WAN, u r-regola tal-ħajt tan-nar li tirregola waħda m'għandha l-ebda effett fuq l-oħra. Ir-raġuni mhijiex bug: talba mgħoddija u talba li r-router innifsu jiġġenera huma żewġ flussi separati, u kull waħda titqabbel ma' parti differenti tal-konfigurazzjoni. Li taqbad biss nofs il-klijent jagħti tweġiba kunfidenti dwar triq li n-nofs l-ieħor qatt ma juża. Is-sewqan huwa li tindirizza s-solvitur tar-router b'mod deliberat, imbagħad tittestja ż-żewġ triqat separatament.

Liema fluss tappartjeni tassew il-qabda tal-pakketti

Tfittxija waħda tinvolvi żewġ skambji. Klijent LAN jibgħat mistoqsija lis-solvitur tar-router, u din tasal bħala traffiku mgħoddi fuq l-interface LAN, għalhekk rotta ta' politika jew regola NAT miktuba għal pakketti mgħoddija tista' taqbel magħha. Imbagħad ir-router iwieġeb mill-cache jew, jekk ma jkunx hemm, jiftaħ il-mistoqsija tiegħu stess lejn server upstream.

Dik it-tieni mistoqsija għandha r-router innifsu bħala sors u bħala destinazzjoni tiegħu stess, u l-pjattaforma tagħżel it-triq tagħha minn blokka oħra ta' konfigurazzjoni. Iż-żewġ skambji jġorru l-istess isem, u ħadd minnhom mhu kopja tal-ieħor. Għalhekk qabda meħuda fuq in-naħa LAN tipprova fejn mar il-pakkett tal-klijent u ma tgħid xejn dwar il-pakkett li joħroġ.

Il-verifika prattika hija li tosserva ż-żewġ naħat fl-istess ħin. Fuq ir-router, elenka s-socket tas-solvitur, staqsih lokalment u aqbad l-interface WAN:

sockstat -4 -l | grep :53
dig +short @127.0.0.1 example.com
tcpdump -ni igb0 udp port 53

Jekk il-lista tas-sockets turi semmiegħ marbut mal-indirizz loopback jew LAN, ir-router iwieġeb lokalment minflok ma jgħaddi lil host ieħor. Imbagħad il-qabda turi jekk il-mistoqsija upstream li tirriżulta toħroġx mill-interface tal-mina jew mill-WAN, u din hija t-tweġiba li r-regola tar-rotta ta' politika qatt ma kienet tagħti.

Għaliex ir-rotta ta' politika qatt ma tara t-tieni mistoqsija

Ir-regoli tal-ħajt tan-nar jinkitbu għal interface, sors, destinazzjoni u port, u jiġu evalwati għal pakketti li jgħaddu mill-apparat. Mistoqsija li r-router jiġġenera ma tgħaddix minn xejn, għax proċess lokali jagħtiha direttament lit-tabella tar-routing. Routing ta' politika u NAT għalhekk japplikaw biss għat-triq mgħoddija, u għalhekk sett ta' regoli jista' jidher komplut u xorta jħalli d-DNS tar-router barra mill-mina.

Din id-distinzjoni tibqa' teżisti wara kull kitba mill-ġdid tal-firmware għax ġejja mit-triq tal-pakkett u mhux minn karatteristika. Kull ma jġġenera l-apparat għalih innifsu, kemm jekk mistoqsijiet tas-solvitur, sinkronizzazzjoni tal-ħin, verifiki tal-aġġornamenti jew aċċess għall-mirja tal-pakketti, huwa ta' oriġini lokali u jaqa' fl-istess post għama. Għalhekk ukoll test mil-laptop ma jippruvax xejn dwar ir-router.

Fejn is-solvitur pfSense jiddeċiedi t-triq upstream tiegħu stess

pfSense jagħmel id-divizjoni viżibbli. It-traffiku tal-klijenti jista' jiġi routat b'politika permezz ta' gateway VPN filwaqt li t-traffiku tal-ħajt tan-nar stess isegwi s-setting tal-ħruġ tas-solvitur minflok ir-regoli LAN. Fl-interface web dak is-setting jinsab taħt Services > DNS Resolver > Outgoing Network Interfaces, u l-valur tiegħu huwa l-lista tal-interfaces li s-solvitur jista' juża għall-mistoqsijiet upstream.

Li ssemmi l-interface tal-mina hemmhekk, u biss dak l-interface, huwa dak li jagħmel it-tfittxijiet tar-router innifsu jsegwu l-mina. Jekk jitħalla fuq il-default, is-solvitur jagħżel ħruġ mit-tabella tar-routing, li fuq host b'żewġ WAN jew VPN huwa spiss il-WAN.

Firmware oħra juru l-istess deċiżjoni taħt tikketta differenti: lista ta' servers upstream marbuta ma' indirizz tas-sors, mod li jgħaddi biss, jew politika tar-rotot dokumentata. Is-setting li trid tfittex hija dejjem dik li tagħżel ħruġ jew sors għall-mistoqsijiet iġġenerati lokalment. Ir-referenza tal-konfigurazzjoni tas-solvitur tiddokumenta dik l-għażla għal pfSense u jistħoqqilha tinqara qabel il-bidla.

Agħżel l-imġiba tal-falliment qabel is-setting

Meta l-mina taqa', żewġ imġibiet huma difendibbli: twaqqaf il-mistoqsijiet upstream biex xejn ma joħroġ, jew tmur lura għal solvitur approvat fuq triq magħrufa. It-tnejn huma politika, u ħadd minnhom mhu dak li tikseb bil-default. Iddeċiedi liema għandha bżonn in-network qabel ma tmiss il-lista tal-interfaces.

L-għeluq fil-falliment huwa eħfef biex tiddefendih, iżda jbiddel waqfa tal-mina fi waqfa tas-soluzzjoni tal-ismijiet għal kull apparat wara r-router. Il-fall-back iżomm l-uffiċċju użabbli, bi prezz ta' skambju upstream barra mill-mina li jrid ikun aċċettabbli b'mod intenzjonat u mhux b'inċident. Ikteb l-għażla, għax il-persuna li jmiss li tara indirizz tas-solvitur barra mill-VPN se taqrah bħala tnixxija jekk nota ma tgħidx mod ieħor. Dik in-nota hija dak li tifred fall-back dokumentat minn skoperta mhux spjegata fir-reviżjoni tat-trimestru li jmiss.

Żewġ każijiet jikkumplikaw id-deċiżjoni. L-ismijiet privati jistgħu jeħtieġu solvitur intern li l-mina tilħaq, u browser jew applikazzjoni bid-DNS encrypted tagħha stess tista' tgħaddi għal kollox minn ġenb ir-router, għalhekk is-solvitur li kkonfigurajt mhux dejjem dak li juża app partikulari.

Ittestja ż-żewġ triqat u żomm ir-riżultati separati

Test tad-DNS fil-browser iwieġeb mistoqsija dejqa: liema solvituri uża dak il-browser, fil-kundizzjonijiet ta' dak it-test. Ma jagħmilx inventarju tal-apparati fin-network u ma jistax jara mistoqsija li r-router iġġenera għalih innifsu. Ittratta l-output tiegħu bħala punt wieħed ta' data u mhux bħala awditu.

Minn klijent LAN, itlob lir-router isem pubbliku u mbagħad isem privat li suppost iwieġeb għalih biss iż-żona interna tiegħek. Falliment biss fit-tieni mistoqsija jindika trażmissjoni tal-ismijiet u mhux il-mina:

dig @192.168.1.1 example.com
dig @192.168.1.1 intranet.example.lan

Imbagħad niżżel il-mina 'l isfel u erġa' agħmel iż-żewġ mistoqsijiet. Tweġibiet miċħuda jfissru li s-solvitur jagħlaq fil-falliment; tweġiba ta' suċċess tindika solvitur ta' fall-back u t-triq li uża. Qabbel dan man-nota li ktibt u ma' qabda fuq l-interface WAN meħuda fl-istess minuta.

Żomm l-osservazzjonijiet separati fir-rekord: l-iskambju tal-klijent mar-router, l-iskambju tar-router mal-upstream, u l-konfigurazzjoni li ddeċidiet it-tieni. Bidla fir-routing aktar tard tħaddem dak l-iskambju t-tieni mingħajr twissija. Tweġiba li tasal minn post ieħor għajr il-punt tat-tarf tal-VPN mhijiex fiha nnifisha tnixxija; issir tnixxija biss meta l-konfigurazzjoni għażlet dik it-triq b'inċident.