خپل کورني VPN ته د nas.home.arpa لپاره خپل DNS ریکارډونه ورکړئ
له dnsmasq څخه یو نوم خپور کړئ، resolver د WireGuard له لارې وګرځوئ، بیا د ټول کلاینت ته DNS تېلولو او یوازې home.arpa لپاره split-DNS ترمنځ غوره کړئ.
کله چې ټنل پورته شي، وروستی ګام معمولاً یو نوم دی چې د بوکمارک کې د نښلول شوي پتې پرځای کار کوي. د dnsmasq هوسټ ریکارډ او د resolver پته چې کلاینت ورته رسېدلی شي دا په دوو فایلونو او پرته له multicast ترسره کوي. هغه پرېکړه چې واقعاً فکر ته اړتیا لري تنګتره ده: کلاینت ټول DNS د کور resolver له لارې لېږي، که یوازې د home.arpa لاندې نومونه؟ لاندې هر څه د Linux کلاینت او د کور مدیر لخوا دمخه اداره شوي لابراتواري resolver سره تصویب شوی WireGuard ترتیبات فرض کوي.
کلاینت ته resolver ورکولو درې لارې
| Approach | Scope | Cost |
|---|---|---|
DNS = in the wg-quick interface | the client's general DNS while the tunnel is up | every name in the house now depends on the tunnel |
Platform split-DNS for home.arpa | only that suffix | more configuration per client platform |
Manual dig @resolver | one query at a time | fine for testing, useless for applications |
هغه لپټاپ لپاره چې کله ناکله ټنل ته ننوځي، split-DNS غوره ډیفالټ دی: عادي انټرنیټ نومونه په هغه resolver کې ساتي چې ماشین دمخه ورته باور لري. هغه ماشین لپاره چې د کور خدمتونو ته د رسېدو لپاره شته، resolver تېلول ساده دي او د حد لګښت مهم نه دی.
ریکارډ په هغه resolver کې خپور کړئ چې زون لري
د ترتیباتو له لیکلو مخکې رولونه جلا وساتئ: د VPN کلاینت پته، resolver او خدمت درې جلا هوسټونه له درې جلا دندو سره دي. په دې لابراتوار کې هغه د کلاینت لپاره 10.77.0.2، د dnsmasq لپاره 192.168.50.53 او د NAS لپاره 192.168.50.20 دي، او ټنل کورني LAN ته لار ښیي.
listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20د host-record کرښه پته برابروي او د local= کرښه ناپېژاندې home.arpa پوښتنې د پورته لېږلو پرځای پدې resolver کې ساتي. لومړی خپل موجود ترتیبات ولولئ او هر هغه څه سره سم کړئ چې دمخه سرور، انټرفیس یا هماغه ځایي ډومین تعریفوي؛ د متضاد پر سر ټوټه ایښودل هغه resolver جوړوي چې په خوښۍ لوډېږي او غلط ځواب ورکوي. د dnsmasq لارښود دواړه لارښوونې او د اورېدو کنټرول تعریفوي.
بیا روان خدمت وګورئ، نه فایل. د ترتیباتو ازموینه او بیا پیل لږ تر لږه دي، او ریښتینی ځواب هغه دی چې پوښتنه یې بېرته راوړي.
resolver ته لار وښایاست، نه یوازې وېب پاڼې ته
د WireGuard AllowedIPs ټاکي چې کوم مقصدونه ټنل ته ننوځي. که د resolver پته له هغې بهر وي، پوښتنه عادي لارې وځي او هیڅکله dnsmasq ته نه رسېږي، که څه هم NAS پخپله د لاسرسي وړ دی. د resolver پته یا هغه LAN مخکښ چې هغه لري شامل کړئ، او د بل اړخ په ګیټوې کې د لېږلو تګلاره وګورئ.
له اجازه لرونکي ټنل حد څخه په 53 پورټ کې UDP او TCP ته اجازه ورکړئ، د کلاینت د ټنل پتې ته د بېرته راستنېدو لارې سره. د ازموینې اسانه کولو لپاره له WAN څخه 53 پورټ مه لېږئ: په کورني اړیکه کې پرانیستی تکرارېدونکی resolver په څو ساعتونو کې موندل کېږي. انټرفیس ته تړل پخپله د لاسرسي تګلاره نه ده.
د اپلیکیشن مخکې ځواب وګورئ
لومړی مستقیم resolver وپوښتئ، بیا سیستم، بیا اپلیکیشن. هر ګام په زنځیر کې یوه حلقه جلا کوي، او د دوی ترمنځ توپیر تشخیص دی.
dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'د TCP پوښتنې چلول ارزښت لري، ځکه غوڅ شوی UDP ځواب بیا هڅه ته اړ باسي، او هغه تګلاره چې TCP 53 غورځوي هغه ناکامۍ جوړوي چې وقفه یي ښکاري. د getent ګام ښیي چې د ماشین resolver ترتیبات واقعاً څه کوي، کوم چې تل هغه نه وي چې تاسو لېږلي.
پرېکړه وکړئ چې ټنل ښکته وي نو څه پېښېږي
که د کلاینت عمومي DNS 192.168.50.53 ته اشاره وکړي، کله چې ټنل پورته نه وي هر نوم تحلیل بندېږي. دا په هغه ماشین کې منل کېدای شي چې یوازې له ټنل سره ګټور دی، او په هغه لپټاپ کې نه منل کېږي چې د کافي Wi-Fi هم کاروي. Split-DNS دا پوښتنه بشپړه پرېږدي، ځکه یوازې د home.arpa پلټنې د کور resolver پورې تړلې دي.
په یاد ولرئ چې نوم څه دی: home.arpa د اوسېدوونکو شبکو لپاره ساتل شوی او نړیوال ځانګړی نه دی، نو بله شبکه کولای شي هماغه نوم په قانوني ډول وکاروي. دا یو ځایي اسانتیا ده، د باور وړ پیژندونکی نه. کله چې خدمت ځای بدل کړی ریکارډ تازه وساتئ، او کله چې لابراتوار تقاعد شي د resolver تګلاره لرې کړئ، د هغه لپټاپ د پرېښودو پرځای چې هغه پتې ته اشاره کوي چې یوازې د نور نه شته ټنل له لارې ورته رسېدلی شي.