Jepini VPN-së tuaj të shtëpisë regjistrimet e veta DNS për nas.home.arpa
Publikoni një emër nga dnsmasq, drejtojeni resolver-in përmes WireGuard, pastaj zgjidhni midis dërgimit të DNS-së te i gjithë klienti dhe split-DNS vetëm për home.arpa.
Pasi tuneli është ngritur, hapi i fundit është zakonisht një emër që funksionon në vend të një adrese që e ngjitni në një faqeshënues. Një regjistrim hosti në dnsmasq plus një adresë resolver-i që klienti mund ta arrijë e bëjnë këtë me dy skedarë dhe pa multicast. Vendimi që vërtet kërkon mendim është më i ngushtë: a e dërgon klienti të gjithë DNS-në përmes resolver-it të shtëpisë, apo vetëm emrat nën home.arpa? Gjithçka më poshtë supozon një konfigurim WireGuard të miratuar me një klient Linux dhe një resolver laboratori që administratori i shtëpisë tashmë e menaxhon.
Tre mënyra për t'i dhënë klientit një resolver
| Approach | Scope | Cost |
|---|---|---|
DNS = in the wg-quick interface | the client's general DNS while the tunnel is up | every name in the house now depends on the tunnel |
Platform split-DNS for home.arpa | only that suffix | more configuration per client platform |
Manual dig @resolver | one query at a time | fine for testing, useless for applications |
Për një laptop që i bashkohet tunelit herë pas here, split-DNS është parazgjedhja më e mirë: i mban emrat e zakonshëm të internetit te resolver-i që makina tashmë i beson. Për një makinë që ekziston për të arritur shërbimet e shtëpisë, shtyrja e resolver-it është më e thjeshtë dhe kostoja e shtrirjes nuk ka rëndësi.
Publikoni regjistrimin te resolver-i që zotëron zonën
Mbani rolet të ndara para se të shkruani konfigurimin: adresa e klientit VPN, resolver-i dhe shërbimi janë tre host-e të ndryshëm me tre detyra të ndryshme. Në këtë laborator ato janë 10.77.0.2 për klientin, 192.168.50.53 për dnsmasq dhe 192.168.50.20 për NAS, ndërsa tuneli drejton LAN-in e shtëpisë.
listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20Rreshti host-record siguron adresën dhe rreshti local= i mban pyetjet e panjohura për home.arpa brenda këtij resolver-i në vend që t'i përcjellë lart. Fillimisht lexoni konfigurimin tuaj ekzistues dhe rakordoni çdo gjë që përcakton tashmë një server, një ndërfaqe ose të njëjtin domen lokal; vendosja e një fragmenti mbi një kontradiktor prodhon një resolver që ngarkohet me gëzim dhe përgjigjet gabimisht. Manuali i dnsmasq përcakton të dy direktivat dhe kontrollet e dëgjimit.
Pastaj verifikoni shërbimin që punon, jo skedarin. Një test konfigurimi plus një rinisje është minimumi, dhe përgjigjja efektive është ajo që kthen një kërkesë.
Drejtoni resolver-in, jo vetëm faqen e internetit
AllowedIPs i WireGuard vendos cilat destinacione hyjnë në tunel. Nëse adresa e resolver-it bie jashtë tij, kërkesa del nga rruga normale dhe nuk arrin kurrë te dnsmasq, edhe pse vetë NAS-i është i arritshëm. Përfshini adresën e resolver-it, ose prefiksin LAN që e përmban, dhe kontrolloni politikën e përcjelljes së portës në anën tjetër.
Lejoni UDP dhe TCP në portën 53 nga intervali i autorizuar i tunelit, me një rrugë kthimi drejt adresës së tunelit të klientit. Mos e përcillni portën 53 nga WAN për të lehtësuar testet: një resolver rekurziv i hapur në një lidhje shtëpiake gjendet brenda orësh. Lidhja me një ndërfaqe nuk është në vetvete një politikë aksesi.
Kontrolloni përgjigjen para aplikacionit
Pyetni fillimisht resolver-in drejtpërdrejt, pastaj sistemin, pastaj aplikacionin. Çdo hap izolon një hallkë të zinxhirit, dhe ndryshimi midis tyre është diagnoza.
dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'Vlen ta ekzekutoni kërkesën TCP sepse një përgjigje UDP e cunguar detyron një provë të re, dhe një politikë që hedh TCP 53 prodhon dështime që duken të ndërprera. Hapi getent tregon çfarë bën në të vërtetë konfigurimi i resolver-it të makinës, që nuk është gjithmonë ajo që keni shtyrë.
Vendosni çfarë ndodh kur tuneli është poshtë
Nëse DNS-ja e përgjithshme e klientit tregon 192.168.50.53, çdo zgjidhje emrash ndalon së punuari kur tuneli nuk është ngritur. Kjo është e pranueshme në një makinë që është e dobishme vetëm me tunelin, dhe e papranueshme në një laptop që përdor edhe Wi-Fi-n e kafenesë. Split-DNS e shmang pyetjen plotësisht, sepse vetëm kërkimet e home.arpa varen nga resolver-i i shtëpisë.
Mbani mend çfarë është emri: home.arpa është rezervuar për rrjetet rezidenciale dhe nuk është unik globalisht, kështu që një rrjet tjetër mund të përdorë ligjërisht të njëjtin emër. Është një lehtësi lokale, jo një identifikues i besueshëm. Mbajeni regjistrimin të përditësuar kur shërbimi zhvendoset, dhe hiqni politikën e resolver-it kur laboratori tërhiqet, në vend që të lini një laptop që tregon një adresë që mund ta arrijë vetëm përmes një tuneli që nuk ekziston më.