Sababta magacyada DNS ee gaarka ah ugu guul-darraystaan macaamiisha VPN iyo halka laga hubiyo

Waxaad laptop ku furtaa qol huteel, waxaad bilaabaa macmiilka, waxaad qortaa magaca serverka faylasha gudaha, mana hesho wax. Tunnel-ku wuxuu sheegaa in la xidhiidhay, ping-ka cinwaan ku yaal isla subnet-kaas ayaa wali jawaabaya, marka gaadiidka laftiisu waa hagaagsan yahay. Kaliya magaca ayaa guul-darraysta, farqigaasna wuxuu dhibaatada ku koobaa laba meelood: xalliyaha macmiilku weydiiyay iyo in jawaabta uu helay ay dib uga soo noqon karto tunnel-ka. Mid hagaaji oo kan kale ka tag, khaladkuna si fudud buu u guurayaa.

Ka hor inta aadan wax ka beddelin profile kasta, hubi waxa macmiilku ku sameeyo magaca. Linux, resolvectl query files.corp.example wuxuu muujinayaa xidhiidhka iyo xalliyaha soo saaray jawaabta. Windows, Resolve-DnsName files.corp.example wuxuu muujinayaa serverka jawaabay iyo cinwaanka uu soo celiyay.

Akhri jawaabta ka hor inta aadan wax beddelin

Haddii magacu ku soo noqdo NXDOMAIN dhowr millisekan gudahood, weydiintu weligeed ma gaadhin aaggaaga oo xalliye dadweyne ama huteel ah ayaa jawaabay. Haddii uu soo noqdo hakad dheer ka dib, wax baa jidka ku tuuraya port-ka UDP 53 macmiilkuna wuxuu ugu dambeyn u noqday xulasho kale. Haddii uu ku jawaabo cinwaanka saxda ah laakiin xidhiidhku wali istaagayo, raadintu waa hagaagsan tahay oo dhibaatadaadu waa marshrutaynta ama adeegga laftiisa.

Saddexdaas qaybood waxay badbaadiyaan saacad mala-awaal ah. Waxay kaloo kuu sheegaysaa inaad VPN-ka taabato iyo in kale: magac ku xalliya cinwaanka gaarka ah ee saxda ah wuxuu horey u caddeeyay jidka xalliyaha, marka shaqada hadhay waxay ku taal jidka xogta.

Qaybi xalliyaha gudaha tunnel-ka

Macaamiishu waxay u kala baxaan laba kooxood. Mid serverku wuxuu siin karaa xalliye inta xidhiidhka la dhisayo; tan kale waxay dejinta ku haysaa fayl maxalli ah oo aan gatewayna si fog u beddeli karin.

OpenVPN wuxuu ku jiraa kooxda koowaad. Serverka, push "dhcp-option DNS 10.8.0.53" iyo push "dhcp-option DOMAIN corp.example" waxay hoos uga socdaan kanaalka kontoroolka, laakiin kaliya haddii qaabeynta macmiilka ay wali daaran tahay pull. Macmiil gacan lagu tafatiran oo sita pull-filter ignore "dhcp-option" waligiis ma arki doono, khadkaas kelina wuxuu sharraxaa tiro la yaab leh oo kiisaska «serverku wuu riixayaa laakiin laptop-keygu ma oggola».

WireGuard wuxuu ku jiraa kooxda labaad, sababtoo ah borotokoolku gebi ahaanba ma laha gorgortan ikhtiyaar. Xalliyaha iyo domain-ka raadinta waxay galaan block-ka [Interface] ee macmiilka qudhiisa sida DNS = 10.8.0.53, corp.example. wg-quick wuxuu taas ku dabaqaa iyada oo loo marayo resolvconf ama systemd-resolved, Windows-na macmiilka rasmiga ahi wuxuu rakibaa xeerarka NRPT ee jira kaliya inta tunnel-ku taagan yahay: Get-DnsClientNrptPolicy wuu taxaa, taas oo ka dhigaysa hab degdeg ah oo lagu arko in macmiilku waligiis adeegsaday faylkaaga.

IPsec/IKEv2 wuxuu ku yaal dhexda. Plugin-ka attr ee strongSwan wuxuu soo celin karaa server DNS oo laga soo qaatay barkad, macmiilka Windows-na sida caadiga ah wuu aqbalaa, laakiin profile xajinaya serverkiisa magacyo ayaa ka guuleysta wax kasta oo gateway-ku bixiyo. Macmiil Linux, tallaabada gacanta ee u dhiganta waa resolvectl dns wg0 10.8.0.53 oo ay ku xigto resolvectl domain wg0 '~corp.example'; labaduba waxay la baabba'aan interface-ka, taas oo ah waxa aad rabto dejinta ku xidhan tunnel-ka.

Xaddid daba-galka halka aad liqin lahayd weydiin kasta

Ku hagidda liiska xalliyeyaasha macmiilka oo dhan serverkaaga gudaha waa sahlan tahay oo inta badan khalad. Markaas magac kasta oo dadweyne ah waxaa laga xalliyaa meesha bixista xaruntaada xogta, CDN-yadu waxay soo celiyaan cinwaanno fog, oo hal hakad xalliye ah ayaa la qaataa baaritaanka isticmaalaha.

U dir gudaha kaliya daba-galka gaarka ah. systemd-resolved, domain bilaabma ~ waa uun marshrutayn, marka ~corp.example macneheedu waa weydiimaha daba-galkaas hoostiisa ay u gudbaan serverrada xidhiidhkaas inta wax kasta oo kale ay sii wadaan isticmaalka shabakadda jismiga ah. Windows waxay sidaas oo kale ku sameysaa xeerar NRPT oo ku xaddidan meel magacyo, macOS-na fayl xalliye dheeraad ah oo ku yaal /etc/resolver/.

Magacyada multicast waxay mudan yihiin jawaab u gaar ah. Magacyada .local waa link-local marka la eego nashqadda (RFC 6762) oo interface tun dhibic-ilaa-dhibic ma qaado kooxdaas multicast, marka xalliye dadweyne oo dheeraad ah ma daabici doono, haddii xalliye gudaha unicast laga weydiiyo waxay soo celinaysaa NXDOMAIN. Milicsad sida avahi oo ku jirta habka milicsiga waxay isku xidhi kartaa laba qaybood, laakiin taas waa go'aan dhinaca serverka ah oo aan macmiilna weydiisan karin. Haddii printer ama NAS lagu gaari karo magac, sii diiwaan A aaggaaga.

Caddee in jawaabtu dib u soo noqon karto

Jawaab sax ah oo tilmaamaysa cinwaan aan la gaari karin waxay u ekaataa sida dhibaato xalliye ilaa aad hubiso wadada. Weydii kernel-ka halka jawaabtu u socon lahayd: ip route get 10.20.5.20 wuxuu magacaabaa interface-ka iyo, si faa'iido badan, cinwaanka isha ee uu isticmaali lahaa.

La soco cinwaanka xalliyaha laftiisa. Macmiil leh DNS = 10.8.0.53 oo ag jooga AllowedIPs = 10.20.0.0/16 wuxuu weydiimihiisa u diraa NIC jismiga ah, halkaas oo ay aamusnaan ku dhintaan, sababtoo ah xalliyuhu kuma jiro prefiks kasta oo tunnel-ku sheeganayo. Ismaandhaafkaas waa khaladka hal-sabab ee ugu caansan dhammaan qaybtan, oo lama arko ilaa aad isbarbardhigto dejinta DNS iyo prefiksyada la oggol yahay khad khad.

Kala-duwanaanta isku-tallaabsan waxay keentaa khaladka lidka ku ah. Jawaabtu waa sax, wadadu way jirtaa, oo waxay tilmaamaysaa host qaldan, sababtoo ah 192.168.0.0/24 guriga waa ka gaar ah wadada tunnel-ka ee isla kala-duwanaantaas. Dib u nambaree dhinac ama riix waddo cidhiidhi ah, ka dibna xaqiiji firewall-ka iyo wadada dib u soo noqoshada ee host-ka adeegga; qoraallada strongSwan ee ku saabsan gudbinta waxay daboolaan dhinaca sysctl ee wadadaas.

Shahaadooyinku waa hubin aqoonsi oo gaar ah oo dadku DNS ku eedeeyaan. Haddii browserku soo sheegay ismaandhaaf magac halkii khalad xallin, raadintu horey bay u shaqeysay oo SAN-ka shahaadada ayaa u baahan in la hagaajiyo. Tijaabi HTTPS magaca, waligaa ha ku tijaabin IP qaawan.

Dib uga tijaabi macmiilka, ma aha gateway-ga

Ku tijaabi barnaamijka uu isticmaalahu ka cabanayo, sababtoo ah raadin khadka amarka ah ma caddeeyo in browserku uu maro isla jidkaas. DNS ammaan ee Chrome iyo network.trr.mode ee Firefox waxay gebi ahaanba dhaafi karaan xalliyaha nidaamka, markay sidaas sameeyaan, magac gaar ah wuu guul-darraystaa ama wuxuu u soo baxsadaa xalliye dadweyne. Isbarbardhigga resolvectl query iyo dig @10.8.0.53 files.corp.example oo gacan lagu socodsiiyay wuxuu kuu sheegayaa kee labadaas dhacay.

Ka dib ka goo oo dib u xidh ka hor inta aadan dhihin waa la hagaajiyay. Dejinta gacan lagu sameeyay interface waxay la baabba'aan interface-ka, profile u muuqday sax kaliya sababtoo ah isbeddel maxalli ah oo la illoobay wuu guul-darraystaa marka xiga ee la daaro.

Liis hubin oo gaaban mishiinka xiga: magaca waxaa lagu xalliyaa xalliyaha tunnel-ka, daba-galku waa xaddidan yahay ee ma aha caalami, cinwaanka xalliyaha wuxuu ku jiraa prefiksyada la oggol yahay, host-ka jawaabtu wuxuu ka jawaabaa port-ka adeegga, shahaadaduna waxay daboolaysaa magaca uu isticmaalahu qoray.