DNS-ka VPN-ka ayaa qaata raadin kasta: hagaaji dns-priority ee NetworkManager

Ku xidh VPN-ga xafiiska oo si lama filaan ah raadin kasta oo magac ah wuxuu aadaa resolver-ka shirkadda. Magacyada dadweynaha weli waa la xalliyaa, marka waxba uma muuqdaan inay jaban yihiin ilaa magaca daabacaad maxalli ah uu fashilmo ama diiwaanka split-horizon uu soo celiyo cinwaanka xafiiska. Qaar ka mid ah dhigista Fedora waxaa dhaca liddi: resolver-ka bixiyaha ayaa sii wada jawaabta ka dib marka tunnel-ku kaco. Labaduba waa hal su'aal — resolver kee ayaa leh raadintan — iyo nidaamyada NetworkManager jawaabtu waxay ku nooshahay sifooyinka DNS ee xiriir kasta.

Laba xiriir, hal resolver guuleysta

Xiriir kastaa wuxuu caddeeyaa mudnaanta DNS. Xiriirrada caadiga ah waxay si caadi ah u yihiin 50 iyo kuwa VPN-na 0, oo qiimaha hoose ayaa guuleysta. Isla caadigaas ayaa sabab u ah in xiriirka VPN uu si aamusan uga sarreeyo xiriirka fiilada domain kasta oo uu sheeganayo: eber waxay ka adkaataa konton iyada oo aan cidna dooran.

Mudnaantu waxay nidaamisaa musharraxiinta. Ma xaddido waxa guuleystaha laga weydiiyo. Xiriirka VPN oo aan lahayn domain raadin wuxuu sheeganayaa wax walba, marka in la doorbido waxay sidoo kale u dirtaa weydiimaha dadweynaha tunnellada gudaheed iyo, naqshadda tunnel qaybsan, meesha resolver-ka shirkaddu u gudbiyo.

Mudnaantu waxay go'aansataa nidaamka, liiska raadintu wuxuu go'aansadaa lahaanshaha

nmcli -f connection.id,ipv4.dns,ipv4.dns-search,ipv4.dns-priority con show "Corp VPN"
resolvectl status
readlink -f /etc/resolv.conf

Liiska raadintu waa caddaynta lahaanshaha. Domain qaawan sida corp.example wuxuu noqdaa daba-gelinta raadinta iyo domain marinka. Qaabka marinka-keliya ~corp.example wuxuu raadinta hoos timaada daba-gelintaas u diraa xiriirkan isaga oo aan domain-ka ku darin magacyada gaagaaban. Tilde-daas ayaa ah farqiga u dhexeeya «weydii serverkan» iyo «weydii serverkan oo dhammee qoraalkayga».

Isticmaal labada qaab marka isticmaalayaashu qoraan magacyo martigeliyaha gaagaaban iyo diiwaannada sidoo kale lagu cinwaano magacyo si buuxda u qalma. Isticmaal oo kaliya qaabka marinka marka aad rabto qaybinta iyada oo aan la beddelin sida resolver-ku u dhammeeyo magac qaawan.

Kadib ka dhig doorbidka mid cad oo dib u hawlgelin:

nmcli con modify "Corp VPN" ipv4.dns-priority -100
nmcli con modify "Corp VPN" ipv6.dns-priority -100
nmcli con modify "Corp VPN" ipv4.dns-search "~corp.example,corp.example"
nmcli con up "Corp VPN"

Mudnaan taban waa habka la diiwaangeliyay ee lagu yidhaahdo «doorbido xiriirkan», iyo dejinta labada qoys cinwaan waxay ilaalisaa dhaqanka mid joogto ah martigeliyaha leh xiriirka IPv6. Beddelka sifada iyada oo aan xiriirka dib loo hawlgelin waxba kama beddelo waxa hadda socda, sidaas darteed isku xigxiggu wuxuu ku dhammaadaa up cad.

U daa systemd-resolved inuu hayo qaybinta

Plugin-ka caadiga ah ee dnsmasq wuxuu weydiimaha ku shubaa hal resolver maxalli ah, marka kala soocidda xiriir kastaa waxay ahaanaysaa mid qallafsan. systemd-resolved wuxuu muujiyaa qaybinta xiriir kasta, oo resolvectl query wuxuu magacaabaa xiriirkii jawaabay.

systemctl enable --now systemd-resolved
ln -sf /run/systemd/resolve/stub-resolv.conf /etc/resolv.conf
systemctl restart systemd-resolved NetworkManager
resolvectl query build.corp.example

Intaa ka dib xiriirka shirkaddu wuxuu qaadaa corp.example oo resolver dadweyne wuxuu u adeegaa inta kale. Marka raadintu timaado xiriirka khaldan, amarku wuxuu magacaabaa xiriirkii ka jawaabay, oo inaad taas ogaato waxay ka wanaagsan tahay inaad ogaato cinwaanka oo kaliya.

La jaanqaad naqshadda DNS nooca tunnel-ka

Naqshadaha asturnaanta ee wax walba tunnel-ka mariya waa in aanay lahaan liis qaybin, sababtoo ah waxay magacyada dadweynaha ku celin lahayd resolver-ka maxalliga ah oo ay baadil ka dhigi lahayd ujeeddada. Naqshadaha tunnel qaybsan ayaa u baahan mid: la'aantiis resolver-ka shirkaddu wuxuu arkaa raadin kasta oo dadweyne, oo habayntu way jabtaa isla daqiiqadda tunnel-ku dhaco.

Kadib waxaa jira kill switch oo xanniba DNS-ka tunnel-ka dibaddiisa. Magacyada waa la xalliyaa aagagga tunnel-ka oo waxay ku fashilmaan meel kasta oo kale iyada oo xiriirku si buuxda u caafimaad qabo. Jawaabaha shaqada leh waa fasax cad oo loo fidiyay resolver-ka LAN ama kayd maxalli ah oo kaliya u gudbiya aagga shirkadda, oo labaduba waa ka-reebitaan leh milkiile ma aha cillad ku jirta tunnel-ka.

Profile dib u qora qaabeynta resolver-ka marka interface-ku bilaabmo waxay u dhaqantaa si la mid ah: marka resolver-ka maxalliga ah aan la gaari karin, kaliya magacyada tunnel-ku yaqaan ayaa la xallinayaa. Mekanizim kasta oo khuseeya, qor magacyada ay tahay inay shaqeeyaan xaalad kasta, oo liiskaas sii qofka wax ka qabta warbixinnada.

Xaqiiji xiriir kasta, ka dibna mar kale marka dib loo xidho

Weydii hal magac gudaha ah iyo hal magac dadweyne ah, oo fiiri halka raadintu dhab ahaan u socoto. Bogga hubinta daadashada wuxuu kuu sheegaa resolver kee jawaabay, ma aha xiriir kee uu nidaamku doortay, marka waxba kama sheegto nidaamka aad hadda dejisay.

Mar kale socodsii labada weydiin ka dib go'itaan iyo dib u xiriir. Mudnaanta dib ayaa loo adeegsadaa marka xiriirku hawlgalaa, oo isku xirid calaamadeed duug ah waxay ka badbaadi kartaa casriyeyn aan cidna xasuusan. Waxa aad rabto inaad qorto dhamaadka waa resolver kee ayaa leh daba-gelin kee, oo lagu daro hubin berri ee ansax ah.