WireGuard د DNS پوښ نه کوي: د یوې خصوصي BIND زون خدمت

تاسو WireGuard پورته کړ، تونل ترافیک تېروي، او داخلي نوم لا هم نه حل کېږي۔ بل ګام معمولاً په WireGuard ترتیباتو کې د DNS تنظیم لټول دي، لکه څنګه چې یو همکار کولی شي ریزالور ولېږي لکه څنګه چې نور VPN کوي۔ نشي کولی۔ لاس ورکول کیلي، د انټرفېس پتې او اجازه ورکړل شوې IP ګانې وړي، او په هغه کې د DNS سرورونو یا د لټون ډومینونو لپاره هېڅ ساحه نشته۔ د ریزالور تګلاره په کلینټ کې ژوند کوي، او سمون هم هماغلته دی۔

تونل او ریزالور جلا تړونونه دي

WireGuard په قصد کوچنی دی۔ دا ستاسو د لیست شوو پتو لپاره پاکټونه لېږدوي او همکاران تصدیقوي؛ د دې طبقې پورته هر څه ستاسو ډیزاین دي۔ OpenVPN کولی شي dhcp-option DNS ولېږي ځکه چې د هغه کنټرول چینل ترتیبات وړي، او دا توپیر د دواړو ترمنځ تګ راتګ کوونکي ښویېږي۔

نو یو کار کوونکی تونل د نومونو حل په اړه هېڅ نه وایي۔ کلینټ کولی شي 10.90.0.1 ته بشپړه لار ولري او بیا هم خپلې پوښتنې عامه ریزالور ته ولېږي، له همدې کبله نښه داسې ښکاري چې “VPN DNS مات کړ”، حال دا چې DNS هېڅکله VPN ته نه و نښلول شوی۔

زون ته خدمت وکړئ پرته له دې چې تکراري ریزالور شئ

د سرور خوا یو کوچنی واکمن زون دی، نه عمومي ریزالور۔ په دې بېلګه کې ګېټوې 10.90.0.1 دی، کلینټان 10.90.0.0/24 دي، او هغه اپلیکیشن چې تاسو یې اندیښنه لرئ په 10.60.0.20 ځواب وایي۔

دا تنظیمات په موجود options بلاک کې یوځای کړئ پرته له دې چې دویم جوړ کړئ:

options {
    listen-on { 127.0.0.1; 10.90.0.1; };
    listen-on-v6 { none; };
    allow-query { 127.0.0.1; 10.90.0.0/24; };
    allow-transfer { none; };
    recursion no;
};

بیا زون او د هغه فایل اعلان کړئ:

zone "corp.example" {
    type primary;
    file "/etc/bind/db.corp.example";
};

$TTL 300
@ IN SOA ns.corp.example. hostmaster.corp.example. ( 1 3600 600 604800 300 )
@      IN NS ns.corp.example.
ns     IN A  10.90.0.1
portal IN A  10.60.0.20

مخکې له بیا بارولو تصدیق کړئ، ځکه چې د بارولو پر مهال نحوي غلطي د هر هغه زون لپاره ټول سرور ښکته کوي چې خدمت یې کوي:

named-checkconf
named-checkzone corp.example /etc/bind/db.corp.example

UDP او TCP 53 یوازې د VPN انټرفېس ته پرانیزئ۔ په عامه انټرفېس کې شخصي واکمنتوب خپرول هم پوښتنې او هم شمېرنه رابولي، او allow-transfer باید تړلی پاتې شي پرته له دې چې یو ثانوي واقعاً ورته اړتیا ولري۔

کلینټ هغې ته وګرځوئ، د هرې اړیکې لپاره

فرض کړئ چې اړیکه NetworkManager لري او ریزالور systemd-resolved دی۔ لومړی موجوده تګلاره ولولئ، په ځانګړي ډول هر ریښېي روټینګ ډومین، ځکه چې ~. ننوتنه به د هغه څه مخکې وي چې تاسو یې اضافه کوئ۔

nmcli connection modify wg-office +ipv4.dns 10.90.0.1
nmcli connection modify wg-office +ipv4.dns-search '~corp.example'

ټیلډ مهمه توري ده۔ دا ډومین د یوازې-لار په توګه نښه کوي: د corp.example لاندې نومونه د دې اړیکې DNS سرور ته ځي، او ډومین د لنډ نوم لټون پسوند په توګه نه زیاتېږي۔ پرته له دې، د portal ټایپ کول portal.corp.example حل پیلوي، چې ستاسو لپاره اسانه او د نورو لپاره حیرانوونکی دی۔ ټیلډ د نښو دننه وساتئ، ځکه چې بې نښو یو شیل پراخوالی دی چې ستاسو کور فولډر ته د اشارې انتظار کوي۔

بدلون د انټرفېس مالک مدیر له لارې پلي کړئ، بیا اړیکه بیا وصل کړئ۔ د هماغه انټرفېس لپاره دویم wg-quick نسخه مه پیلوئ؛ دوه مالکان به پر لارو جګړه وکړي او یو به یې په ترټولو بد شېبه کې وګټي۔

له نوم مخکې لاره تصدیق کړئ

له کلینټ څخه نوم وپوښتئ او هم ځواب او هم هغه سرور چې جوړ کړی یې تصدیق کړئ:

resolvectl query portal.corp.example

که دا 10.60.0.20 بیرته راوړي، د DNS تړون بشپړ دی۔ که وخت ختم شي، لومړی 10.90.0.1 ته لاره، بیا د اور وژنې قاعده، بیا په سرور کې allow-query وګورئ۔ په دې ترتیب کې د نوم حل ناکامۍ نږدې تل د لاسرسي یا ACL وي، نه د زون فایل۔ له کلینټ څخه بهر کار وکړئ، ځکه سرور نشي کولی تاسو ته ووایي چې یوه پوښتنه ولې هېڅکله ونه رسېده۔

په یاد ولرئ چې اپلیکیشن لا هم خپله لاره او خپل د خدمت اجازه غواړي۔ هغه نوم چې حل شوی او نا رسېدونکې پتې ته اشاره کوي، په هماغو کالیو کې بله ناکامي ده۔

څه چې لا هم اتوماتیک نه دي

هغه اپلیکیشنونه چې خپل ریزالور منطق لري د سیستم ریزالور په بشپړه توګه نه غږوي، او څومره nmcli هم چې وي هغه نه بدلوي۔ هغه ځایونه چې DNSSEC تصدیقوي د شخصي زون لپاره د باور لنګر روښانه ډیزاین ته اړتیا لري؛ ځواب د تصدیق بندولو عمومي لارښوونه نه ده۔ د هماغه کلینټ سافټویر سره ازموینه وکړئ چې ستاسو کاروونکي یې چلوي، نه د هغه وسیلې سره چې ناڅاپه د سیستم ریزالور کاروي۔ د دواړو ترمنځ توپیر هماغه ټول بګ راپور دی۔

بیړۍ کولی شي دا کلینټ تګلاره د خپل پروویژن سیسټم له لارې اتوماتیک کړي، مګر تګلاره د مالک سره جلا شی پاتې ده۔ د BIND 9 حواله پورتنۍ کارول شوې اورېدنې او پوښتنې کنټرولونه رانغاړي، او ستاسو د نصب شوي نسخې لپاره د چلند تصدیق لپاره سم ځای هماغه دی۔

بل ګام: د زون د سیریل زیاتوالی او د کتنې کمانډونه خپل بدلون پروسیجر ته زیات کړئ، ترڅو د ریکارډ سمون پرته له کتنې تولید ته ونه رسېږي۔