Uelekezaji wa sera wa OpenWrt: mnyororo unaokamata DNS ya ndani

Wateja kwenye LAN hutatua kupitia handaki na utafutaji wa router yenyewe kwa utulivu haufanyi hivyo. Masasisho ya pakiti, ulandanisho wa muda na DNS inayobadilika vyote hutoka kupitia uplink ya kawaida, wakati kila ulizo linalopitishwa huchukua VPN, na hakuna chochote kwenye kiolesura kinachoonyesha kuwa kuna njia mbili tofauti. Maelezo si hitilafu katika sera bali ni swali la ndoano ipi inaona pakiti. Mitiririko miwili, anwani moja ya kitatuzi, na ni mmoja tu wao huvuka router. Kuwatenganisha ndiyo marekebisho yote.

Mitiririko miwili, anwani moja ya kitatuzi

Mtiririko wa kwanza ndio ambao watu hufikiria. Mteja anauliza kitatuzi cha router, kitatuzi hupeleka juu, na pakiti hiyo iliyopitishwa hupita router wakati wa kutoka. Pakiti hiyo inaonekana kwa chochote kinachofuatilia trafiki inayopitishwa.

Mtiririko wa pili haufiki kamwe kutoka mahali popote. Router huunda, kwa hiyo hakuna pakiti inayoingia wala hatua ya upelekaji ya kulinganisha.

Zote mbili zinaweza kulenga anwani moja ya kitatuzi, na ndiyo sababu tofauti ni rahisi kukosa. Lengo moja, asili tofauti, mnyororo tofauti. Mara tu unapoona asili, uchunguzi uliobaki unafuata.

Pakiti zinazopitishwa na zinazoundwa ndani huingia kwa njia tofauti

Trafiki inayopitishwa hutathminiwa inapofika kutoka kiolesura kingine. Pakiti za uelekezaji wa sera huionyesha kama mnyororo wa prerouting, na sheria iliyowekwa hapo huona kila pakiti inayovuka router. Ndiyo sababu maulizo ya wateja hufanya kama sera inavyoeleza, na ndiyo sababu router huipuuza. Sheria si mbaya, imeunganishwa tu kwenye ndoano ambayo router haifikii kamwe. Ihamishe, na ulinganifu huo huo unaanza kufanya kazi.

Trafiki inayoundwa ndani huundwa na mchakato kwenye router na huingia kwenye njia ya kutoka. Huelekezwa na uamuzi wa router yenyewe na hukutana na sera tu ikiwa sera inashughulikia mnyororo huo. Hakuna kiolesura kinachoingia cha kulinganisha wala uamuzi wa upelekaji wa kuangalia.

Hiyo ni sifa ya mahali pakiti zinapozaliwa, si ya pakiti fulani. Sheria iliyoandikwa kwa mnyororo mmoja haina maoni kuhusu mwingine. Hakuna urekebishaji wa sheria unaobadilisha hilo.

Chagua mnyororo wa kutoka, kisha punguza ulinganifu

Marekebisho ni kuunganisha nia hiyo hiyo kwenye mnyororo wa kutoka pia, au kuhamisha sheria huko wakati maulizo ya router yenyewe ndiyo yanayokuhusu. Katika usanidi wa OpenWrt uliojengwa juu ya pakiti ya uelekezaji wa sera, hiyo inamaanisha kuchagua output badala ya prerouting katika mpangilio wa mnyororo wa sheria. Weka sheria zote mbili ikiwa makundi yote mawili yanahitaji ufikiaji.

Kisha punguza kile sheria inacholinganisha. Anwani za kitatuzi za lengo kwenye bandari ambayo kitatuzi hutumia kwa kweli ni uamuzi mdogo zaidi kuliko kutuma kila kitu router inachounda kwenye handaki.

Weka sheria mbili wazi badala ya kujaribu kuandika moja inayoshughulikia minyororo yote miwili. Sheria tofauti ni rahisi kusoma, na hukuruhusu kuzima njia ya router bila kusumbua trafiki ya wateja unapotafuta hitilafu. Pia hufanya vihesabu kuwa na maana kimoja kimoja.

Weka usafiri wa handaki yenyewe nje ya sheria

Muunganisho wa nje wa handaki pia huundwa na router. Sheria inayotuma trafiki yote iliyoundwa ndani kwenye handaki itaelekeza handaki kupitia yenyewe, na haitapanda kabisa.

Ufikiaji wa usimamizi ni mwathirika wa pili. Vikao vya utawala vinavyotoka kwenye router, au majibu kwao, vinaweza kuvutwa kwenye handaki na sheria ya ndani iliyo pana mno na kuwa haifikiki kutoka LAN.

Ondoa nukta ya mwisho ya handaki kwenye ulinganifu, na weka sheria ikizuiwa kwa anwani za kitatuzi. Hiyo inatosha kwa hitaji la DNS na ni ndogo vya kutosha kufikiria juu yake.

Jaribu makundi yote mawili, si moja

Tazama router ikifanya ulizo lake mwenyewe na kumbuka ni kiolesura kipi kilicholibeba. Rudia utafutaji kutoka kwa mwenyeji wa LAN na kumbuka ni njia ipi iliyoichukua. Vihesabu kwenye sheria za sera hufanya majibu yote mawili yaonekane bila kukisia.

Chukulia matokeo kama matokeo mawili tofauti. Mteja anayetatua kupitia handaki hasemi chochote kuhusu router, na router inayotatua kwa usahihi haisemi chochote kuhusu mteja kwenye msikilizaji mwingine. Yaandike kama mistari tofauti katika rekodi ya mabadiliko.

Angalia pia bandari: sheria inayolingana na bandari ya lengo 53 hukosa kitatuzi kinachofikiwa kupitia DNS over TLS kwenye 853 au nukta ya mwisho ya HTTPS. Linganisha usafiri ambao upstream iliyosanidiwa hutumia kwa kweli, na uvujaji hufungwa kwa sababu sahihi.