Elekeza wateja wa OpenVPN kwenye kidadisi cha Pi-hole kwenye mwenyeji mwingine

Kuweka anwani ya Pi-hole kwenye wasifu wa OpenVPN hakuundi njia kuelekea kwake, hakitoi ruhusa ya kuiuliza, na hakihakikishi kwamba mteja ataitumia. Pi-hole inapokuwa kwenye mashine tofauti ya LAN, mambo manne yanapaswa kuoana: njia kutoka kwa mteja, upitishaji kutoka kwa lango, njia ya kurudi kwenye bwawa, na sera ya upokeaji kwenye Pi-hole yenyewe. Kila hitilafu inaonekana tofauti kwenye kumbukumbu. Kuzishughulikia kwa mpangilio huo ni haraka kuliko kurekebisha ya mwisho kwanza. Njia ya mkato ya kawaida, kufungua urudufu kwa kila chanzo, hubadilisha tatizo dogo kwa tatizo la kudumu.

Chaguo la DNS linalosukumwa hufanya nini na halifanyi nini

Seva hutangaza kidadisi kwa agizo lililo hapa chini, ikidhani kuwa 192.168.50.53 ni mwenyeji wa Pi-hole. Mteja hupokea chaguo na, kutegemea jukwaa lake na muunganisho wa kidadisi , kulitumia kwenye kiolesura cha handaki au kulipuuza kwa ajili ya stub ya ndani. Mstari wa njia ni muhimu kama mstari wa DNS, kwa sababu kidadisi ambacho mteja hawezi kufikia si kidadisi hata kidogo. Hakuna lolote la haya linaloonekana kutoka upande wa seva.

server 10.90.0.0 255.255.255.0
push "dhcp-option DNS 192.168.50.53"
push "route 192.168.50.0 255.255.255.0"

Kupokea chaguo si sawa na kulitumia. Mteja wa Linux mwenye msimamizi wa kidadisi anaweza kukubali seva inayosukumwa na kutuma vikoa fulani tu kwake; mteja anayesimamia DNS mwenyewe anaweza kuandika juu ya mpangilio kabisa. Njia zinazosukumwa pia zina mipaka kwenye majukwaa fulani, jambo linaloacha kidadisi kisifikikiwe ingawa chaguo lilikubaliwa. Angalia kwenye mteja ni seva ipi inajibu, si kwenye seva kile kilichotumwa.

Chaguo pia halisemi chochote kuhusu upande wa seva. Trafiki ya DNS bado inapaswa kusafiri kutoka kwa mteja hadi kwenye lango na kutoka kwenye lango hadi Pi-hole kabla chaguo lolote kuwa na maana. Njia inayokosekana na ombi lililokataliwa huonekana sawa kutoka kwa mteja, kwa hivyo thibitisha kwanza upitishaji kwenye lango.

Njia ya kurudi kutoka Pi-hole hadi kwenye bwawa

Ikiwa anwani ya chanzo ya mteja inahifadhiwa, Pi-hole hujibu kwa anwani iliyo ndani ya bwawa la VPN. Jedwali lake la uelekezaji huenda halijui chochote kuhusu bwawa hilo, kwa hivyo jibu huenda kwenye lango lake chaguo-msingi na kutoweka. Kumbukumbu ya maombi huonyesha ombi lisilo na jibu linalolingana, jambo ambalo ni rahisi kudhani ni tatizo la ngome ya moto.

Ipe kipanga njia cha LAN njia tuli ya bwawa hilo huku lango la OpenVPN likiwa hop inayofuata, au tafsiri chanzo kwenye lango kabla ya kupeleka kwa Pi-hole. Ya kwanza huweka anwani za kila mteja zikionekana kwenye kumbukumbu ya maombi ya Pi-hole. Ya pili huondoa sharti la njia ya kurudi lakini hufanya kila ombi lionekane linatoka kwenye lango. Hakuna lolote lililo kosa; zinajibu maswali tofauti.

Ikiwa ripoti au sera kwa kila mteja ni muhimu, njia tuli ni ubadilishaji bora. Ikiwa LAN inasimamiwa na mtu mwingine na njia haipatikani, tafsiri ni chaguo la kiutendaji, huku upotevu wa utambulisho wa mteja ukirekodiwa. Andika ni ipi uliyochagua, kwa sababu kila swali la kumbukumbu baadaye linategemea hilo.

Hali ya kusikiliza ya Pi-hole kwa wateja waliopewa njia

Orodha ya kushuka ya tabia ya kusikiliza violesura kwenye ukurasa wa mipangilio chini ya DNS huamua ni vyanzo vipi Pi-hole inajibu. Chaguo kali zaidi hukubali wateja wa mitandao iliyounganishwa moja kwa moja tu; chaguo linaloruhusu vifaa vilivyo mbali zaidi hop moja hupanua hilo hadi subneti zilizo nyuma ya kipanga njia jirani, na mteja wa VPN aliyepewa njia anaonekana hivyo hasa. Pakiti hufika kwenye kiolesura cha LAN, lakini anwani yake ya chanzo ni ya subneti nyingine. Hii ni kukataa kwa sera, si hitilafu ya uelekezaji, na tofauti hiyo ni muhimu unaposoma kumbukumbu.

Mwongozo wa kusikiliza wa Pi-hole hutenganisha vyanzo vilivyounganishwa ndani na asili zilizopewa njia, na kiolesura cha kuwasili si kigezo. Chagua hali inayoruhusu bwawa la VPN bila kuruhusu intaneti yote, kisha iunganishe na kanuni ya ngome ya moto inayokubali DNS kutoka kwenye bwawa pekee.

Kufungua urudufu kwa asili zote ili ombi la kwanza lifanye kazi ni urekebishaji mbaya. Hubadilisha kidadisi cha faragha kuwa cha wazi, na suluhisho ni ruhusa yenye mipaka, si ya kimataifa.

Linganisha jibu na kumbukumbu ya maombi

Uliza mteja, kisha angalia seva na linganisha zote mbili. Kwenye mteja wa systemd-resolved amri zilizo hapa chini huripoti ni kidadisi kipi kilizalisha jibu na ni seva zipi zimepangwa kwa kila kiungo. Tumia jina ambalo Pi-hole pekee inalijua, kwa sababu ombi la moja kwa moja kwenye anwani ya Pi-hole huthibitisha kufikika, si mpangilio.

resolvectl query intranet.example.lan
resolvectl dns

Jibu linalotarajiwa hutaja 192.168.50.53 kama seva na hurudisha anwani ambayo kidadisi hicho pekee kingeijua. Kisha angalia mwonekano wa Pi-hole yenyewe: pihole -t hufuata kumbukumbu ya maombi moja kwa moja, na kila mstari hubeba anwani ya chanzo. Ikiwa chanzo ni anwani ya handaki ya mteja, njia ya bwawa iko salama. Ikiwa ni anwani ya LAN ya lango, tafsiri ya chanzo inafanyika na anwani ya mteja mwenyewe haitawahi kuonekana.

Ikiwa hakuna chochote kinachoonekana kwenye kumbukumbu, ombi halikufika Pi-hole kamwe na kitu kinachofuata kuchunguzwa ni upitishaji kwenye lango. Ikiwa ombi linaonekana lakini hakuna jibu linalorudi, tatizo ni njia ya kurudi, yaani sehemu iliyotangulia. Kugawanya hitilafu kwa namna hii huzuia hitilafu ya uelekezaji kudhaniwa kuwa kanuni ya ngome ya moto.

Angalia kanuni ya upitishaji ya lango

Lango linapaswa kupeleka pakiti za DNS za mteja kuelekea Pi-hole, na kanuni inayofanya hivyo inafaa kusomwa, si kudhaniwa. Amri zilizo hapa chini huorodhesha kanuni zinazogusa bandari 53 pamoja na vihesabu, kwenye mwenyeji wa nftables na kwenye mwenyeji wa iptables. Kanuni iliyopo lakini inayoonyesha sifuri ya mechi ni ishara kwamba trafiki inatupwa kabla ya kutafsiriwa.

sudo nft list ruleset | grep -A3 'dport 53'
sudo iptables -t nat -L POSTROUTING -n -v | grep 53

Soma vihesabu, si kanuni pekee. Kanuni isiyolingana kamwe inamaanisha pakiti inatoka kupitia kiolesura kingine, au mteja hakuwahi kuituma. Kanuni inayolingana kwenye kila ombi inamaanisha upitishaji unafanya kazi na tatizo liko mbele zaidi kwenye njia.

Chombo kipi kile mwenyeji atumie, weka ukaguzi mwembamba: bwawa kama chanzo, bandari 53 kama lengo, na Pi-hole kama lengo pekee linaloruhusiwa. Kanuni pana ya upitishaji inayoruhusu pia bandari 80 ni tatizo lingine linalosubiri kutokea.