VPN-kaagu ma sireeyaa DNS, mise kaliya boodhka xiga?

Shidaalka DNS sireetan ee server VPN waxaa badanaa lagu sifeeyaa inuu xiro daadasho, sifayntaasna waxay qarinaysaa isku xirka kee beddelay. Boodhka macmiilka ilaa resolver-ka iyo boodhka resolver-ka ilaa qulqulka sare waa isku xirro gaar ah oo leh milkiilayaal gaar ah. Midkood sireeynta wuxuu kan kale uga tagaa sida uu ahaa.

Qor yaa hela query-ga marxalad kasta ka hor intaadan taaban faylka habaynta.

Laba hab oo isku mid ka muuqda bogga dejinta

Habka koowaad qalabka ayaa iskiis u shaqeeya DNS over TLS, tunnelkuna wuxuu kaliya u qaadaa isku xirkaas resolver aad dooratay. Session-ka TLS wuxuu ku dhammaadaa resolver-ka, taas oo macnaheedu yahay resolver-ku wuxuu arkaa query-ga halka bixitaanka VPN uu arko qoraal sireetan oo aanu akhrin karin. Habka labaad qalabku wuxuu DNS caadi ah ku diraa tunnelka dhexdiisa ilaa forwarder ku yaal host VPN, forwarderkaasna wuxuu u furaa isku xirkiisa sireetan resolver-ka sare. Liiska astaamaha labaduba waxay u muuqdaan "DNS sireetan oo VPN leh", waxayna query-ga la akhrin karo dhigaan dhismayaal kala duwan.

Farqigu waa mid la qiyaasi karo, ma aha falsafad. Ka raadi session-ka TLS macmiilka ama server-ka, waadna ogaan doontaa habka aad dhab ahaan haysato.

Khariidad silsiladda resolver-ka ka hor intaadan beddelin

Tiri resolver-yada jidka oo magacow doorka mid kasta. Qaybta forwarding-ka waxay codsi u gudbisaa resolver kale, halka resolver recursive uu qabto shaqada helista jawaabta oo uu si toos ah ula hadli karo server-yada awoodda leh. Doomahaas si gaar ah ayaa loo qeexay sababtan daraaddeed, iyo qeexitaannada resolver-ka RFC 9076 waa kuwo mudan in la akhriyo ka hor intaadan u malayn inuu jiro hal meel oo sare. Host ku shaqeeya resolver recursive u gaar ah ma laha hal "qulqul sare" oo la sireeyo, taas oo burinaysa qorshaha oo dhan.

Kadib weydii qaybta macmiilku u habeysan yahay inuu isticmaalo. Cinwaanka DNS ee borofaylka VPN soo saaro wuxuu sheegaa halka query-yadu tagaan, ma sheego process-ka ka jawaaba.

Ogow sidoo kale habdhaqanka guuldarada. Haddii qulqulka sare ee sireetan uu noqdo mid aan la gaari karin, forwarder-ku ma ku guuldareystaa xiran, ma ku noqdaa qoraal cad, mise wuxuu u gudbaa resolver kale? Go'aankaas waa inuu ku jiraa diiwaanka, sababtoo ah wuxuu beddelaa dammaanadda asturnaanta waqtiga tunnelku ugu caafimaad darran yahay.

Xaqiiji boodhka kee la sireeyay

Ka bilow macmiilka oo xaqiiji inuu leeyahay session TLS oo u socda port 853. Query si sax ah uga xallima port 53 waxba kama caddaynayso sireynta.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Kadib u guur host VPN oo raadi isku xirka bixitaanka ee sireetan ee forwarder-ku furay. Shaxda socket-ku waxay kuu sheegtaa inuu jiro session TLS sare iyo process-ka iska leh:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Haddii macmiilku muujiyo session TLS oo server-ku waxba muujin, waxaad ku jirtaa habka koowaad oo server-ku ma akhrin karo query-yada uu ku gudbiyo lakabka IP. Haddii server-ku muujiyo session-ka TLS oo macmiilku muujiyo traffic caadi ah oo port 53 gudaha tunnelka, waxaad ku jirtaa habka labaad: boodhka xiga waa la ilaaliyay, forwarderkuna wali akhriyaa magac kasta oo qalabku weydiisto. Natiijadaas labaad ma aha guuldarro, laakiin in loogu yeero sireyn dhammaad-ilaa-dhammaad waa khalad.

Diiwaangeli milkiilaha iyo habdhaqanka guuldarada

Milkiilaynta ayaa go'aamisa waxaad ballan qaadi karto. Milkiilaha qalabku wuxuu maamulaa isku xir sireetan oo dhinaca macmiilka ah, halka maamulaha VPN uu maamulo isku xirka xiga ee forwarder-kiisu abuuro. Qof kasta oo aan midkoodna shaqeyn wax uun kama qori karo jidka oo kaliya.

Ka hor intaadan shidlin wax, hubi magacyada gudaha. U dirista magacyada ururka resolver dadweyne ma aha nashqad u dhiganta, iyo aagga split-horizon ee kaliya ka jira gudaha shabakadda gabi ahaanba lagama xallin doono qulqulka sare. Tijaabi hal magac gudaha ah iyo hal magac dadweyne ah ka dib isbeddelka, natiijadana la kaydi isbeddelka habaynta. Haddii jidka sireetan uu jebiyo xallinta host-yada gudaha, hagaajintu waa qaanuun resolver oo xadidan, ma aha tunnel ballaaran.

U dhammee adigoo qoraya hal jumlad boodh kasta: qaybta kee helay query-ga, boodhkaas ma sireetan yahay, iyo yaa akhrin kara magaca. Marka jumladda ku saabsan host VPN ay wali sheegto inuu akhrin karo query-yada, dukumeentigu waa inuu sidaas sheegaa, sababtoo ah jaantus sheegta wax ka duwan ayaa lagu kalsoonaan doonaa qof aan waligiis ordinin amarrada.