StrongSwan Mac හට ළඟා විය නොහැකි DNS ලිපිනයක් යවයි

කවුරුහරි MacBook එකක් විවෘත කරන තුරු සියල්ල ක්‍රියා කරයි. ටනලය ස්ථාපිත වේ, අභ්‍යන්තර සත්කාරක ලිපිනයෙන් පිළිතුරු දෙයි, නම විසඳීම මිය යයි. iPhone හිද එම පැතිකඩ එලෙසම හැසිරේ, Windows සහ Linux සේවාලාභීන් හොඳින් සිටින අතර. සාමාන්‍යයෙන් යවන DNS ගුණාංගය වරදකරු වේ: සේවාදායකය තම පොදු අතුරුමුහුණත ලිපිනය බෙදාහරියි, Apple හි IKEv2 සේවාලාභියා ටනලය හරහා එහි විමසුම් නොයවයි. resolver එක සමූහය තුළට ගෙන ගිය විට සේවාලාභියා ස්පර්ශ නොකර රෝග ලක්ෂණය අතුරුදහන් වේ.

රෝග ලක්ෂණය යවන ලිපිනය දෙසට යොමු වේ

සමහර වේදිකා පමණක් අසාර්ථක වන විට, ටනලය සහ සත්‍යාපන දත්ත බොහෝ විට නිවැරදි වේ, මන්ද ඒවා හවුල් වේ. වෙනස වන්නේ එක් එක් සේවාලාභියා ලබන වින්‍යාස භාරය, අභ්‍යන්තර DNS සේවාදායකය ඇතුළුව, යොදන ආකාරයයි. ලිපිනය පිළිගෙන විමසුම් ටනලය වටා යවන සේවාලාභියාට දැකිය හැකි නමුත් භාවිත කළ නොහැකි resolver එකක් ඉතිරි වේ.

පොදු ලිපිනය සුපුරුදු තේරීම වන්නේ පරිපාලක දැනටමත් දන්නා එකම ලිපිනය එය වන බැවිනි. එය ටනලයේම පූර්ව නාමයෙන් පිටත බවට සහතික වන එකම ලිපිනයද වන අතර, එම ගුණාංගයම Apple සේවාලාභීන් බිඳ දමයි.

කිසිවක් වෙනස් කිරීමට පෙර අගය බලන්න. යවන resolver එක සේවාදායකයේ WAN ලිපිනය නම්, ඔබ ගැටලුවේ හැඩය සොයාගෙන ඉතිරි අනුමාන මඟ හැරිය හැක. එය සමූහ පූර්ව නාමය සමඟද සසඳන්න, මන්ද සමූහය තුළ නමුත් බදු පරාසයෙන් පිටත ලිපිනය නිවැරදි කිරීමේ ස්වරූපය හරියටම එයයි. වින්‍යාසය සමඟ මිනිත්තු දෙකක් සේවාලාභියා මත දවස පුරා පැකට් අල්ලනවාට වඩා හොඳය.

resolver එක බදු පරාසයෙන් කපා වෙන් කරන්න

resolver එක සමූහයේම උපජාලයේ සාමාජිකයෙකු වන ලිපින සැලැස්මක් ටනලයට දෙන්න, පසුව එම ලිපිනය වෙන් කර තබන්න එය කිසිදා කිසිම සේවාලාභියෙකුට බදු දෙනු නොලැබෙන පරිදි. මෙම උදාහරණයේ සමූහය 10.180.7.0/24 වේ, සේවාදායකය 10.180.7.1 රඳවා ගනී, බදු 10.180.7.2 සිට ආරම්භ වේ.

rightsourceip=10.180.7.2/24
rightdns=10.180.7.1

සමූහ පූර්ව නාමය සහ resolver එක එකම උපජාලයක් බෙදා ගනී, එබැවින් දැනටමත් ටනල රථවාහන ගෙන යන මාර්ගය විමසුම්ද ගෙන යයි. එම එකම ගුණාංගය නිවැරදි කිරීම සේවාලාභීන් අතර ගෙන යා හැකි කරයි. swanctl වින්‍යාසයක එම කරුණු දෙක ipsec.conf වාක්‍ය රීතියේ නොව, සමූහ නිර්වචනයක් සහ සම්බන්ධතාවයේ DNS සැකසුමක් ලෙස දිස්වේ.

මේ සඳහා සේවාදායකයට නව භෞතික අතුරුමුහුණතක් අවශ්‍ය නොවේ. loopback අතුරුමුහුණතට 10.180.7.1 එකතු කිරීම resolver එකක් බැඳී පිළිතුරු දීමට ප්‍රමාණවත් වේ, මන්ද සේවාලාභීන් දැනටමත් පවතින සමූහ මාර්ගය හරහා එහි ළඟා වන බැවිනි. ලිපිනය බදු පරාසයෙන් පිටත තබන්න කිසිම සේවාලාභියෙකු අහම්බෙන් එය නොගන්නා පරිදි. සමූහය බාහිර DHCP හෝ RADIUS සේවාවක් විසින් කළමනාකරණය කරන්නේ නම්, ලිපිනය එහිද වෙන් කරන්න, එසේ නොවුනහොත් පළමුව ඇසූ සේවාලාභියා එය ගනීවි.

resolver එක බැඳ 53 වරාය වසන්න

ලිපිනයක් පැවරීම එය මත සවන් දීමට සමාන නොවේ. LAN ලිපිනයේ පමණක් සවන් දෙන resolver එකක් සමූහ ලිපිනයට යවන විමසුම් ප්‍රතික්ෂේප හෝ නොසලකා හරියි, සේවාලාභියාට මාර්ගගත කිරීමේ අසාර්ථකත්වයක් ලෙස පෙනෙන කාල ඉකුත්වීමක් දිස්වේ.

interface: 10.180.7.1
access-control: 10.180.7.0/24 allow
access-control: 0.0.0.0/0 refuse

මෙම unbound කොටස ටනල සමූහයෙන් විමසුම් පිළිගෙන අනිත් සියල්ල ප්‍රතික්ෂේප කරයි, එය බොහෝ ආයතනික resolver අවශ්‍ය ප්‍රතිපත්තියයි. එම අවස්ථාව LAN සේවාලාභීන්ටද පිළිතුරු දෙන්නේ නම්, සවන්දෙන්නා සියලු මූලාශ්‍රවලට පුළුල් කරනවා වෙනුවට LAN පූර්ව නාමය පැහැදිලිව එකතු කරන්න.

පසුව ෆයර්වෝල් නීති resolver හිම ලබා ගැනීම් පාලනය සමඟ එකඟ විය යුතුය. සමූහයෙන් 53 වරාය පිළිගෙන අනෙක් සෑම තැනකම එය ඉවත් කරන්න, නමුත් මුලින්ම දාමයේ අනුපිළිවෙල පරීක්ෂා කරන්න.

iptables -A INPUT -p udp --dport 53 -s 10.180.7.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -s 10.180.7.0/24 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j DROP
iptables -A INPUT -p tcp --dport 53 -j DROP

කලින් පැවති පුළුල් පිළිගැනීම් නීතියක් අවසාන පේළි දෙක අලංකරණයක් කරයි, resolver අන්තර්ජාලයෙන් ළඟා විය හැකිව පවතී. ඔබ අදහස් කළ අනුපිළිවෙල විශ්වාස කරනවා වෙනුවට ගණන් කරන්නන් සමඟ ඵලදායී නීති කට්ටලය කියවන්න. විකල්ප ප්‍රතිපත්තිය, එනම් පොදු ලිපිනය යවා ඕනෑම මූලාශ්‍රයකින් විමසුම් අවසර දීම, බොහෝ සේවාලාභීන්ට ක්‍රියා කරයි, නමුත් resolver අන්තර්ජාලයට තබයි සහ එහිම වේග සීමාව සහ අධීක්ෂණය අවශ්‍ය වේ.

සේවාලාභියාට ඇත්තටම ලැබුණේ කුමක්දැයි තහවුරු කරන්න

මුලින්ම සේවාදායකයේ දර්ශනය, පසුව සේවාලාභියාගේ, මන්ද දෙකම තොරතුරු සහගත ලෙස වෙනස් වේ. සමූහ ලැයිස්තුවක් කුමන ලිපිනය බදු දුන්නේදැයි පෙන්වයි, ආරක්ෂක සංගම් ලැයිස්තුව සම්බන්ධතාවය අපේක්ෂිත අනන්‍යතාව සමඟ සක්‍රීයදැයි පෙන්වයි.

swanctl --list-sas
swanctl --list-pools
dig +short @10.180.7.1 intranet.plant.example

සෘජු විමසුම සනාථ කරන්නේ resolver එක සමූහ ලිපිනයේ එහි ළඟා විය හැකි සත්කාරකයකින් පිළිතුරු දෙන බවයි. එය Mac එම සේවාදායකය තෝරා ගත් බව සනාථ නොකරයි. macOS හි scutil --dns විෂය පථ සේවාවකට resolver ලැයිස්තුගත කරයි සහ සාරාංශ පැනලයට වඩා තොරතුරු සහගතය; Windows හි Get-DnsClientServerAddress ටනල අනුවර්තකය යවන ලද අගය පිළිගත්තේදැයි පෙන්වයි.

සේවාලාභියා සමූහ ලිපිනය පෙන්වන අතර විමසුම් තවමත් කාල ඉකුත් වන්නේ නම්, වරද ටනල මාර්ගයේ හෝ ෆයර්වෝල් දාමයේ ය. කිසිම resolver එකක් වාර්තා නොකරන සේවාලාභියා යනු වින්‍යාස භාරය කිසිදා නොපැමිණි බවයි, එබැවින් ජාලය දෙස නොව එම වේදිකාව යවන ලද සැකසුම් යොදන ආකාරය දෙස බලන්න. වෙනත් යමක් වෙනස් කිරීමට පෙර ඔබ දුටුයේ මෙම අවස්ථා දෙකෙන් කුමක්දැයි ලියන්න. මෙම අසාර්ථකත්ව දෙක සහාය ටිකට්පතක එකම ලෙස පෙනෙන අතර විරුද්ධ අළුත්වැඩියා කිරීම් වෙත යොමු කරයි.