WireGuard ma riixo DNS: u adeegidda aag BIND gaar ah

Gacan-qaadistu waxay qaaddaa furayaal iyo IPyo la ogolaaday, waligeed ma qaaddo xalliyaha. Halkan waxaa ah aag BIND 9 gaar ah oo diyaarsan iyo siyaasadda macmiilka ee xiriir kasta oo ka dhigta mid la xalliyo.

Waxaad kicisay WireGuard, tunnel-ku wuxuu maraa taraafikada, magaca gudahana wali lama xalliyo. Tallaabada xigta badanaa waa in la raadiyo dejinta DNS ee qaabeynta WireGuard, sida haddii peer uu riixi karo xalliye sida VPN-yada kale qaar sameeyaan. Ma karo. Gacan-qaadistu waxay qaaddaa furayaal, cinwaannada interface-ka iyo IPyo la ogolaaday, mana laha goob loogu talagalay server-yada DNS ama domain-yada raadinta. Siyaasadda xalliyaha waxay ku nooshahay macmiilka, oo halkaasaa sixiddu ku habboon tahay.

Tunnel-ka iyo xalliyuhu waa heshiisyo kala duwan

WireGuard si ula kac ah ayuu u yar yahay. Wuxuu u raraa baakadaha cinwaannada aad taxdaa wuxuuna xaqiijiyaa peer-yada; wax kasta oo ka sarreeya lakabkaas waa naqshaddaada. OpenVPN wuu riixin karaa dhcp-option DNS sababtoo ah kanaalkiisa kontoroolku wuxuu qaaddaa qaabeyn, farqigaasna wuxuu ku turunturoodaa dadka u dhexeeya labada.

Marka tunnel shaqeeya wax kama sheegto xallinta magacyada. Macmiilku wuxuu yeelan karaa waddo fiican oo u socota 10.90.0.1 oo weli su'aalahiisa u diraya xalliye dadweyne, taasina waa sababta calaamaddu u ekaato “VPN-gaa DNS-kii jabiyay” iyadoo DNS waligiis aan loo jeedin VPN-ga.

U adeeg aagga adigoon noqon xalliye soo noqnoqda

Dhinaca server-ku waa aag awood leh oo yar, ma aha xalliye guud. Tusaalahan gateway-gu waa 10.90.0.1, macmiilladu waa 10.90.0.0/24, abka adiga muhiimka kuu ahna wuxuu ka jawaabaa 10.60.0.20.

Ku dar dejintan block-ga options ee jira halkii aad ka abuuri lahayd mid labaad:

options {
    listen-on { 127.0.0.1; 10.90.0.1; };
    listen-on-v6 { none; };
    allow-query { 127.0.0.1; 10.90.0.0/24; };
    allow-transfer { none; };
    recursion no;
};

Kadib ku dhawaaq aagga iyo faylkiisa:

zone "corp.example" {
    type primary;
    file "/etc/bind/db.corp.example";
};
$TTL 300
@ IN SOA ns.corp.example. hostmaster.corp.example. ( 1 3600 600 604800 300 )
@      IN NS ns.corp.example.
ns     IN A  10.90.0.1
portal IN A  10.60.0.20

Xaqiiji ka hor dib u raridda, sababtoo ah khalad hab-dhismeedka waqti raridda ayaa hoos u dhigaya server-ka oo dhan aag kasta oo uu adeego:

named-checkconf
named-checkzone corp.example /etc/bind/db.corp.example

Fur UDP iyo TCP 53 kaliya interface-ka VPN. Daabacaadda awood gaar ah interface-ka dadweynaha waxay soo jiidataa su'aalo iyo tirin labadaba, iyo allow-transfer waa inuu xiran yahay ilaa secondary si dhab ah ugu baahan yahay.

U jeedi macmiilka dhinacaas, xiriir kasta

Ka soo qaad in NetworkManager uu leeyahay xiriirka iyo in systemd-resolved uu yahay xalliyaha. Marka hore akhri siyaasadda jirta, gaar ahaan domain kasta oo dariiqa xididka ah, sababtoo ah gelinta ~. waxay ka sarraysiin doontaa waxa aad ku darayso.

nmcli connection modify wg-office +ipv4.dns 10.90.0.1
nmcli connection modify wg-office +ipv4.dns-search '~corp.example'

Tilde waa xarafka muhiimka ah. Waxay u calaamadiso domain-ka inuu yahay waddo-kaliya: magacyada hoos yimaada corp.example waxay u tagaan server-ka DNS ee xiriirkan, domain-kana lama daro sida daba-galka raadinta magac gaaban. La'aanteed, qorista portal waxay bilaabataa xallinta portal.corp.example, taas oo ku habboon adiga oo la yaab leh dhammaan dadka kale. Tilde ku hay gudaha xigashooyinka, sababtoo ah mid aan xigasho lahayn waa fidinta shell oo sugaya inuu u tilmaamo galkaaga guriga.

Ku dhaqan geli isbeddelka iyada oo loo marayo maareeyaha leh interface-ka, kadib dib u xiriir xiriirka. Ha bilaabin instance labaad oo wg-quick isla interface-ka; laba milkiile ayaa ku murmi doona waddooyinka oo midkood ayaa ku guulaysan doona waqtiga ugu xun.

Xaqiiji waddada ka hor magaca

Waydii magaca macmiilka oo xaqiiji jawaabta iyo server-ka soo saaray labadaba:

resolvectl query portal.corp.example

Haddii ay soo celiso 10.60.0.20, heshiiska DNS waa la fuliyay. Haddii waqtigu dhammaado, marka hore hubi waddada 10.90.0.1, kadib qaanuunka darbiga dabka, kadib allow-query server-ka. Guuldarrooyinka xallinta magacyada ee habkan badanaa waa gaaritaan ama ACL, ma aha faylka aagga. Ka shaqee macmiilka dibadda, sababtoo ah server-ku kuma sheegi karo sababta su'aal waligeed aan u imanin.

Xusuuso in abka weli uu u baahan yahay waddadiisa iyo ogolaanshaha adeeggiisa. Magac la xalliyay oo tilmaamaya cinwaan aan la gaari karin waa guuldarro kale oo isla dharka qaba.

Waxa aan weli otomaatig ahayn

Abka leh caqli-xalline u gaar ah waxay gabi ahaan iska indhatiraan xalliyaha nidaamka, qaddar kasta oo nmcli ahna ma beddelo taas. Ibshaadyada xaqiijiya DNSSEC waxay u baahan yihiin naqshad cad oo aaminnimo-dhigasho ah oo loogu talagalay aagga gaarka ah; jawaabtu ma aha amarro guud oo lagu damiyo xaqiijinta. Ku tijaabi isla software-ka macmiilka ee isticmaalayaashu isticmaalaan, ma aha qalab si kadis ah u isticmaala xalliyaha nidaamka. Farqiga u dhexeeya labadaas waa warbixinta khaladka oo dhan.

Kooxaha waxay otomaatigi karaan siyaasaddan macmiilka iyagoo maraya nidaamkooda bixinta, laakiin siyaasaddu waxay sii tahay shay gaar ah oo leh milkiile. Tixraaca BIND 9 waxay daboolaysaa kontaroolada dhegeysiga iyo su'aalaha ee kor loo isticmaalay, waana goobta saxda ah ee lagu xaqiijiyo hab-dhaqanka nooca aad rakibatay.

Tallaabada xigta: ku dar korodhka lambarka taxanaha aagga iyo amarrada hubinta habkaaga isbeddelka, si wax ka beddel diiwaan uusan u gaari karin wax soo saar iyada oo aan la hubin.

Maqaallo la xiriira