StrongSwan هغه DNS پته لیږي چې Mac ورته نشي رسېدلی

هر څه کار کوي تر هغې چې یو څوک MacBook خلاص کړي. ټنل جوړیږي، داخلي هوسټونه د پتې له مخې ځواب ورکوي، او د نومونو حل مري. په iPhone کې ورته پروفایل همداسې چلند کوي، پداسې حال کې چې د Windows او Linux کلینټونه سم دي. معمولاً لیږل شوی DNS صفت مجرم دی: سرور خپله عامه انټرفیس پته ویشي، او د Apple IKEv2 کلینټ د ټنل له لارې هلته پوښتنې نه لیږي. resolver د استخر دننه یوسئ او نښه پرته له دې چې کلینټ ته لاس ووهئ ورکیږي.

نښه لیږل شوې پتې ته اشاره کوي

کله چې یوازې ځینې پلیټفارمونه ناکام شي، ټنل او اعتبارونه نږدې یقیناً سم دي، ځکه چې دوی شریک دي. توپیر دا دی چې هر کلینټ ترلاسه شوی کنفیګریشن پیلوډ، په شمول داخلي DNS سرور، څنګه پلي کوي. هغه کلینټ چې پته مني خو پوښتنې د ټنل شاوخوا لیږي، له هغه resolver سره پای ته رسیږي چې ګوري یې خو کارول یې نشي کولی.

عامه پته معمول انتخاب دی ځکه چې دا یوازینې پته ده چې مدیر یې دمخه پېژني. دا هم یوازینې پته ده چې د ټنل خپل پریفکس څخه بهر ده تضمین شوې، او همدا ځانګړتیا د Apple کلینټونه ماتوي.

د هر څه بدلولو دمخه ارزښت وګورئ. که لیږل شوی resolver د سرور WAN پته وي، تاسو د ستونزې بڼه موندلې او پاتې اټکلونه پرېږدای شئ. دا د استخر پریفکس سره هم پرتله کړئ، ځکه چې د استخر دننه خو د کرایې له حد څخه بهر پته هماغه ده چې سمون به ورته ښکاري. د کنفیګریشن سره دوه دقیقې په کلینټ کې د ماسپښین په اوږدو کې د پاکټونو نیولو څخه غوره دي.

resolver د کرایې له حد څخه وباسئ

ټنل ته داسې د پتې پلان ورکړئ چې resolver د استخر خپلې فرعي شبکې غړی وي، بیا هغه پته خوندي کړئ تر څو هېڅکله کوم کلینټ ته په کرایه نه ورکړل شي. په دې مثال کې استخر 10.180.7.0/24 دی، سرور 10.180.7.1 ساتي، او کرایې له 10.180.7.2 څخه پیل کیږي.

rightsourceip=10.180.7.2/24
rightdns=10.180.7.1

د استخر پریفکس او resolver یوه فرعي شبکه شریکوي، نو هغه لار چې دمخه د ټنل ترافیک وړي پوښتنې هم وړي. همدا یوه ځانګړتیا ده چې سمون د کلینټونو ترمنځ د لیږد وړ ګرځوي. په swanctl کنفیګریشن کې همدا دوه حقایق د استخر تعریف او په اړیکه کې د DNS تنظیم په توګه ښکاري، نه د ipsec.conf په ترکیب کې.

سرور د دې لپاره نوی فزیکي انټرفیس نه غواړي. 10.180.7.1 loopback انټرفیس ته اضافه کول بس دي تر څو resolver وتړل شي او ځواب ووایي، ځکه چې کلینټونه د دمخه موجود استخر لارې له لارې ورته رسیږي. پته د کرایې له حد څخه بهر وساتئ تر څو هېڅ کلینټ په ناڅاپي ډول ترلاسه یې نه کړي. که استخر د بهرني DHCP یا RADIUS خدمت لخوا مدیریت کیږي، پته هلته هم خوندي کړئ، که نه لومړنی پوښتونکی کلینټ به یې واخلي.

resolver وتړئ او پورټ 53 بند کړئ

پته ورکول او پر هغې اوریدل یو شی نه دي. هغه resolver چې یوازې په LAN پته اوریدل کوي د استخر پتې ته لیږل شوې پوښتنې رد یا نادیده کوي، او کلینټ داسې وخت پای ګوري چې د لارې ناکامۍ په څیر ښکاري.

interface: 10.180.7.1
access-control: 10.180.7.0/24 allow
access-control: 0.0.0.0/0 refuse

دا unbound ټوټه د ټنل استخر څخه پوښتنې مني او نور هر څه ردوي، کوم چې هغه تګلاره ده چې ډیری کورپوریټ resolver غواړي. که همدا نسخه LAN کلینټونو ته هم ځواب ووایي، د اوریدونکي پر ځای چې ټولو سرچینو ته پراخ شي، LAN پریفکس په ښکاره ډول اضافه کړئ.

بیا باید د فایر وال قواعد د resolver خپلې لاسرسي کنټرول سره سمون ولري. له استخر څخه پورټ 53 ومنئ، او په نورو ټولو ځایونو کې یې وغورځوئ، خو لومړی د زنځیر ترتیب وګورئ.

iptables -A INPUT -p udp --dport 53 -s 10.180.7.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -s 10.180.7.0/24 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j DROP
iptables -A INPUT -p tcp --dport 53 -j DROP

دمخه پراخه مننې قاعده دې وروستیو دوو کرښو ته ښکلا ورکوي، او resolver له انټرنیټ څخه د لاسرسي وړ پاتې کیږي. د خپل نیت شوي ترتیب باور پر ځای د شمېرونکو سره اغیزمن قواعد ولیږدئ. بدیله تګلاره، عامه پته لیږل او له هرې سرچینې څخه پوښتنو ته اجازه ورکول، د ډیرو کلینټونو لپاره کار کوي، خو resolver انټرنیټ ته ږدي او خپله د سرعت محدودیت او څارنې ته اړتیا لري.

وګورئ چې کلینټ په حقیقت کې څه ترلاسه کړل

لومړی د سرور لید وګورئ، بیا د کلینټ، ځکه چې دواړه په معلوماتي ډول سره توپیر لري. د استخر لیست ښیي کومه پته په کرایه ورکړل شوه، او د امنیتي ټولنو لیست ښیي چې اړیکه د تمه شوي هویت سره ولاړه ده که نه.

swanctl --list-sas
swanctl --list-pools
dig +short @10.180.7.1 intranet.plant.example

مستقیمه پوښتنه ثابتوي چې resolver د استخر پتې پر سر له هغه هوسټ څخه ځواب وایي چې ورته رسیږي. دا ثابتوي نه چې Mac همغه سرور غوره کړی. په macOS کې scutil --dns resolverونه د هر سکاپ شوي خدمت لپاره لیستوي او د لنډیز پینل څخه ډیر معلوماتي دی؛ په Windows کې Get-DnsClientServerAddress ښیي چې د ټنل اډاپټر لیږل شوی ارزښت منلی که نه.

که کلینټ د استخر پته ښیي او پوښتنې بیا هم وخت پای ته رسیږي، نو ګناه د ټنل لارې یا د فایر وال زنځیر ده۔ هغه کلینټ چې هېڅ resolver راپور نه کوي مانا دا ده چې کنفیګریشن پیلوډ هېڅکله ونه رسېد، نو د شبکې پر ځای وګورئ هغه پلیټفارم لیږل شوي تنظیمات څنګه پلي کوي. د بل هر څه بدلولو دمخه ولیکئ چې له دې دوو کې کومه حالت ولید. دا دواړه ناکامۍ په ملاتړ ټیکټ کې یو شان ښکاري او برعکس سمونونو ته رهبري کوي.