WireGuard ma jimbottax DNS: jaqdi żona BIND privata

Il-handshake iġorr ċwievet u IP permessi, qatt ma jġorr resolver. Hawn żona BIND 9 privata lesta flimkien mal-politika tal-klijent għal kull konnessjoni li tagħmilha teżisti.

Qajjimt WireGuard, il-mina tgħaddi t-traffiku, u l-isem intern għadu ma jiġix riżolt. Il-pass li jmiss normalment ikun tfittxija għal setting DNS fil-konfigurazzjoni ta' WireGuard, bħallikieku peer jista' jimbotta resolver bħal ma jagħmlu xi VPNs oħra. Ma jistax. Il-handshake iġorr ċwievet, indirizzi tal-interface u IP permessi, u m'għandux qasam għal servers DNS jew dominji tat-tiftix. Il-politika tar-resolver tgħix fuq il-klijent, u hemmhekk tispetta l-korrezzjoni.

Il-mina u r-resolver huma kuntratti separati

WireGuard huwa żgħir apposta. Iċaqlaq pakketti għall-indirizzi li telenka u jawtentika l-peers; kull ħaġa 'l fuq minn dak is-saff hija d-disinn tiegħek. OpenVPN jista' jimbotta dhcp-option DNS għax il-kanal ta' kontroll tiegħu jġorr konfigurazzjoni, u dik id-differenza tfixkel lil min imur bejn it-tnejn.

Allura mina li taħdem ma tgħidlek xejn dwar ir-riżoluzzjoni tal-ismijiet. Il-klijent jista' jkollu rotta perfetta lejn 10.90.0.1 u xorta jibgħat il-mistoqsijiet tiegħu lil resolver pubbliku, u għalhekk is-sintomu jidher bħal “il-VPN kissret id-DNS” meta fid-DNS qatt ma kien indirizzat lejn il-VPN.

Aqdi ż-żona mingħajr ma ssir resolver rikursiv

In-naħa tas-server hija żona awtorevoli żgħira, mhux resolver ġenerali. F'dan l-eżempju l-gateway huwa 10.90.0.1, il-klijenti huma 10.90.0.0/24, u l-applikazzjoni li tinteressak twieġeb fuq 10.60.0.20.

Għaqqad dawn is-settings fil-blokka options eżistenti minflok toħloq it-tieni waħda:

options {
    listen-on { 127.0.0.1; 10.90.0.1; };
    listen-on-v6 { none; };
    allow-query { 127.0.0.1; 10.90.0.0/24; };
    allow-transfer { none; };
    recursion no;
};

Imbagħad iddikjara ż-żona u l-fajl tagħha:

zone "corp.example" {
    type primary;
    file "/etc/bind/db.corp.example";
};
$TTL 300
@ IN SOA ns.corp.example. hostmaster.corp.example. ( 1 3600 600 604800 300 )
@      IN NS ns.corp.example.
ns     IN A  10.90.0.1
portal IN A  10.60.0.20

Ivvalida qabel terġa' tgħabbi, għax żball ta' sintassi waqt it-tagħbija jwaqqa' s-server kollu għal kull żona li jaqdi:

named-checkconf
named-checkzone corp.example /etc/bind/db.corp.example

Iftaħ UDP u TCP 53 biss fuq l-interface tal-VPN. Li tippubblika awtorità privata fuq l-interface pubblika jistieden kemm mistoqsijiet kif ukoll enumerazzjoni, u allow-transfer għandu jibqa' magħluq sakemm sekondarju ma jkunx tassew jeħtieġu.

Indirizza l-klijent lejha, għal kull konnessjoni

Assumi li l-konnessjoni hija proprjetà ta' NetworkManager u li r-resolver huwa systemd-resolved. Aqra l-politika eżistenti l-ewwel, speċjalment kwalunkwe dominju ta' routing tal-għerq, għax entrata ~. se taqbeż dak li tkun wasal biex iżżid.

nmcli connection modify wg-office +ipv4.dns 10.90.0.1
nmcli connection modify wg-office +ipv4.dns-search '~corp.example'

It-tilde hija l-karattru importanti. Hija timmarka d-dominju bħala rotta biss: ismijiet taħt corp.example imorru lejn is-server DNS ta' din il-konnessjoni, u d-dominju ma jiġix miżjud bħala suffiss tat-tiftix ta' ismijiet qosra. Mingħajrha, it-tip ta' portal jibda jirriżolvi portal.corp.example, li huwa konvenjenti għalik u sorprendenti għal kulħadd. Żomm it-tilde ġewwa l-kwotazzjonijiet, għax waħda bla kwoti hija espansjoni tal-shell li tistenna biex tindika d-direttorju tad-dar tiegħek.

Applika l-bidla permezz tal-maniġer li għandu l-interface, imbagħad erġa' qabbad il-konnessjoni. Tniedix it-tieni istanza ta' wg-quick għall-istess interface; żewġ sidien se jiġġieldu fuq ir-rotot u wieħed minnhom jirbaħ fl-agħar mument.

Ivverifika t-triq qabel l-isem

Staqsi l-isem mill-klijent u kkonferma kemm it-tweġiba kif ukoll is-server li pproduċieha:

resolvectl query portal.corp.example

Jekk dan jirritorna 10.60.0.20, il-kuntratt DNS huwa mitmum. Jekk jaqbeż il-ħin, iċċekkja l-ewwel ir-rotta lejn 10.90.0.1, imbagħad ir-regola tal-firewall, imbagħad allow-query fuq is-server. Il-fallimenti tar-riżoluzzjoni tal-ismijiet f'dan is-setup kważi dejjem huma aċċessibilità jew ACL, mhux il-fajl taż-żona. Aħdem mill-klijent 'il barra, għax is-server ma jistax jgħidlek għaliex mistoqsija qatt ma waslet.

Ftakar li l-applikazzjoni xorta teħtieġ ir-rotta tagħha u l-permess tas-servizz tagħha. Isem riżolt li jindika lejn indirizz mhux aċċessibbli huwa falliment ieħor fl-istess ilbies.

X'għadu mhux awtomatiku

Applikazzjonijiet bil-loġika tar-resolver tagħhom stess jinjoraw ir-resolver tas-sistema għal kollox, u l-ebda ammont ta' nmcli ma jbiddel dan. L-iskjeramenti li jivvalidaw id-DNSSEC jeħtieġu disinn espliċitu ta' trust anchor għaż-żona privata; it-tweġiba mhijiex struzzjoni ġenerali li titfi l-validazzjoni. Iċċekkja bl-istess software tal-klijent li jħaddmu l-utenti tiegħek, mhux b'għodda li jkollha tintuża r-resolver tas-sistema b'kumbinazzjoni. Id-distakk bejn it-tnejn huwa r-rapport kollu tal-bug.

Il-flotot jistgħu jawtomatizzaw din il-politika tal-klijent permezz tas-sistema tal-provvista tagħhom, iżda l-politika tibqa' oġġett separat b'sid. Ir-referenza ta' BIND 9 tkopri l-kontrolli tas-smigħ u tal-mistoqsijiet użati hawn fuq, u hija l-post it-tajjeb biex tikkonferma l-imġiba għall-verżjoni installata tiegħek.

Il-pass li jmiss: żid iż-żieda tan-numru tas-serje taż-żona u l-kmandi tal-verifika fil-proċedura tal-bidliet tiegħek, sabiex editjar ta' rekord ma jistax jasal għall-produzzjoni bla ma jiġi ċċekkjat.

Artikli relatati