U jihe macaamiisha OpenVPN dhanka xalliyaha Pi-hole ee martigeliyaha kale

Ku darista ciwaanka Pi-hole profile OpenVPN ma abuurto dariiq loo maro, ma siiso ogolaansho in laga weydiiyo, lamana dammaanad qaadinayo in macaamilku isticmaali doono. Marka Pi-hole ku yaal mishiin LAN gaar ah, afar shay waa inay is waafaqaan: dariiqa macaamilka, gudbinta gateway-ga, dariiqa dib u noqodka ee xogta, iyo siyaasadda qaabka Pi-hole laftiisa. Khalad kastaa si kala duwan ayuu uga muuqdaa diiwaanka. Ka shaqaynta sidaas ayaa ka dhaqso badan hagaajinta kan ugu dambeeya marka hore. Jidka gaaban ee caadiga ah, furitaanka soo-noqodka ee isha kasta, wuxuu ku beddelaa dhib yar mid joogto ah.

Waxa ay samayso iyo waxa aanay samayn ikhtiyaarka DNS ee la riixay

Serverku wuxuu ku dhawaaqaa xalliyaha amarrada hoose, isagoo u malaynaya in 192.168.50.53 uu yahay martigeliyaha Pi-hole. Macaamilku wuxuu helaa ikhtiyaarka oo, iyadoo ku xiran madalashiisa iyo is-dhexgalka xalliyaha , ku dabaqaa interface-ka tunnel ama wuu iska indhatiraa isagoo doorbidaya stub maxalli ah. Sadarka dariiqa wuxuu muhiim u yahay sida sadarka DNS, sababtoo ah xalliyaha aan macaamilku gaari karin ma aha xalliye haba yaraatee. Wax ka mid ah tan lama arko dhinaca serverka.

server 10.90.0.0 255.255.255.0
push "dhcp-option DNS 192.168.50.53"
push "route 192.168.50.0 255.255.255.0"

Helista ikhtiyaar ma la mid tahay isticmaalkeeda. Macaamilka Linux ee leh maareeyaha xalliyaha ayaa laga yaabaa inuu aqbalo serverka la riixay oo uu u diraa oo kaliya qaybo gaar ah; macaamilka isagu maamula DNS ayaa laga yaabaa inuu si buuxda u qoro dejinta. Dariiqyada la riixay sidoo kale waa xaddidan yihiin madallo qaarkood, taasoo ka dhigaysa xalliyaha mid aan la gaari karin inkasta oo ikhtiyaarka la aqbalay. Ka hubi macaamilka serverkee jawaabaya, ma aha serverka waxa la diray.

Ikhtiyaarku wax kama sheegayo dhinaca serverka sidoo kale. Taraafikka DNS wali waa inuu ka socdaa macaamilka ilaa gateway-ga iyo gateway-ga ilaa Pi-hole ka hor inta aan ikhtiyaar kastaa macne yeelan. Dariiq maqan iyo weydiin la diiday ayaa isku mid ka muuqda macaamilka, marka marka hore xaqiiji gudbinta gateway-ga.

Dariiqa dib u noqodka ee Pi-hole ilaa xogta

Haddii ciwaanka isha macaamilka la ilaaliyo, Pi-hole wuxuu ka jawaabaa ciwaan ku jira xogta VPN. Shaxdiisa dariiqa waxaa laga yaabaa in aanay wax ka ogaan xogtaas, marka jawaabtu waxay u tagtaa gateway-ga caadiga ah oo way baaba'daa. Diiwaanka weydiinta wuxuu muujinayaa codsi aan lahayn jawaab u dhiganta, taasoo fudud in si khaldan loo fahmo dhibaato firewall.

Siin router-ka LAN dariiq joogto ah oo loogu talagalay xogta iyadoo gateway-ga OpenVPN uu yahay boodhka xiga, ama ku tarjun isha gateway-ga ka hor inta aanad u gudbin Pi-hole. Tan hore waxay ilaalisaa ciwaannada macaamil kasta inay ka muuqdaan diiwaanka weydiinta Pi-hole. Tan dambe waxay meesha ka saartaa shardiga dariiqa dib u noqodka laakiin waxay ka dhigtaa weydiin kastaa mid ka yimid gateway-ga. Midkoodna khalad maaha; waxay ka jawaabaan su'aalo kala duwan.

Haddii warbixinta ama siyaasadda macaamil kastaa ay muhiim tahay, dariiqa joogtada ah ayaa ah beddelka wanaagsan. Haddii LAN uu maamulo qof kale oo aan dariiq la heli karin, tarjumaaddu waa ikhtiyaarka macquulka ah, iyadoo luminta aqoonsiga macaamilka la qoray. Qor midka aad dooratay, sababtoo ah su'aal kasta oo diiwaan dambe waxay ku xiran tahay taas.

Habka dhegeysiga Pi-hole ee macaamiisha la jiheeyay

Liiska hoos-u-dhaca ee habdhaqanka dhegeysiga interface-yada bogga dejinta ee hoos yimaada DNS ayaa go'aamiya isha ay Pi-hole ka jawaabo. Ikhtiyaarka ugu adag wuxuu aqbalaa oo kaliya macaamiisha shabakadaha si toos ah ku xiran; ikhtiyaarka u oggolaanaya aaladaha ugu badnaan hal boodh ayaa u fidinaya tan subnet-yada ka dambeeya router deris ah, taasoo si sax ah u eg macaamilka VPN ee la jiheeyay. Xirmadu runtii waxay gaartaa interface-ka LAN, laakiin ciwaanka isheeda waxaa iska leh subnet kale. Tani waa diidmo siyaasad ah ee maaha guuldarro dariiq, farqigaana waa muhiim markaad akhrinayso diiwaannada.

Hagaha dhegeysiga ee Pi-hole wuxuu kala soocaa isha si maxalli ah ku xiran iyo asalka la jiheeyay, interface-ka imaatinkuna maaha halbeeg. Dooro hab u oggolaanaya xogta VPN isagoo aan u oggolaanayn internetka oo dhan, ka dibna la lamaano qaanuun firewall ah oo aqbala DNS oo kaliya xogta.

Furitaanka soo-noqodka ee asalka oo dhan si weydiinta ugu horreysa u shaqayso waa hagaajin khaldan. Waxay ka dhigtaa xalliye gaar ah mid furan, hagaajintuna waa ogolaansho xaddidan, ma aha mid caalami ah.

Isku waafaji jawaabta iyo diiwaanka weydiinta

Weydii macaamilka, ka dib hubi serverka oo is barbar dhig labadaba. Macaamilka systemd-resolved, amarrada hoose waxay soo sheegaan xalliyaha soo saaray jawaabta iyo serverrada loo dejiyay xiriir kasta. Isticmaal magac ay ogyihiin oo kaliya Pi-hole, sababtoo ah weydiin toos ah oo ciwaanka Pi-hole waxay caddaynaysaa gaaritaanka, ma aha dejinta.

resolvectl query intranet.example.lan
resolvectl dns

Jawaabta la filayo waxay magacaabaysaa 192.168.50.53 inuu yahay server oo waxay soo celisaa ciwaan ay ogaan lahaa oo kaliya xalliyahaas. Ka dib eeg aragtida Pi-hole laftiisa: pihole -t waxay si toos ah ula socotaa diiwaanka weydiinta, sadar kastaana wuxuu qaadaa ciwaanka isha. Haddii ishu tahay ciwaanka tunnel ee macaamilka, dariiqa xogta waa mid buuxa. Haddii uu yahay ciwaanka LAN ee gateway-ga, tarjumaadda isha ayaa socota oo ciwaanka macaamilka laftiisu weligiis ma soo baxayo.

Haddii waxba ka muuqan diiwaanka, weydiintu waligeed ma gaarin Pi-hole oo waxa xiga ee la hubinayo waa gudbinta gateway-ga. Haddii weydiintu ka muuqato oo jawaab soo noqon, dhibaatadu waa dariiqa dib u noqodka, taasoo ah qaybta hore. U kala qaybinta guuldarrada sidan waxay ka hortagtaa in khalad dariiq loo qaato qaanuun firewall.

Hubi qaanuunka gudbinta gateway-ga

Gateway-ga waa inuu u gudbiyo xirmooyinka DNS ee macaamilka dhanka Pi-hole, qaanuunka taas sameynaana waa in la akhriyaa halkii la malayn lahaa. Amarrada hoose waxay taxaan qaanuunnada taabanaya port 53 oo ay la socdaan tirooyin, martigeliyaha nftables iyo martigeliyaha iptables. Qaanuun jira laakiin muujinaya eber is-waafaq ah waa calaamad in taraafikka la tuurayo ka hor inta aan la tarjun.

sudo nft list ruleset | grep -A3 'dport 53'
sudo iptables -t nat -L POSTROUTING -n -v | grep 53

Akhri tirooyinka, ma aha oo kaliya qaanuunnada. Qaanuun aan waligiis is waafaqin waxay ka dhigan tahay in xirmadu ka baxdo interface kale, ama macaamilku waligiis ma dirin. Qaanuun is waafaqa weydiin kasta waxay ka dhigan tahay in gudbintu shaqayso oo dhibaatadu ka sii fog dariiqa.

Qalab kasta oo martigeliyahu isticmaalo, hubinta ku hay mid cidhiidhi ah: xogta oo ah isha, port 53 oo ah meesha loo socdo iyo Pi-hole oo ah bartilmaameedka kaliya ee la oggolaaday. Qaanuun gudbin ballaaran oo sidoo kale oggolaanaya port 80 waa dhibaato kale oo sugaysa inay dhacdo.