Kwa nini DNS ya router yenyewe inakwepa handaki la VPN?

Utafutaji wa wateja hufuata handaki, ilhali utafutaji wa router yenyewe hutoka kupitia WAN, na kanuni ya ukuta wa moto inayodhibiti moja haina athari kwa nyingine. Sababu si hitilafu: ombi lililopitishwa na ombi ambalo router yenyewe huunda ni mitiririko miwili tofauti, na kila moja hulinganishwa na sehemu tofauti ya usanidi. Kunasa nusu ya mteja tu huleta jibu la uhakika kuhusu njia ambayo nusu ya pili haitumii kamwe. Suluhisho ni kuelekeza kitatuzi cha router kwa makusudi, kisha kujaribu njia mbili kwa mbalimbali.

Nasa ya pakiti kwa kweli ni ya mtiririko upi

Utafutaji mmoja unahusisha mabadilishano mawili. Mteja wa LAN hutuma swali kwa kitatuzi cha router, na hilo hufika kama trafiki iliyopitishwa kwenye kiolesura cha LAN, kwa hivyo kanuni ya njia ya sera au NAT iliyoandikwa kwa pakiti zilizopitishwa inaweza kulingana nayo. Kisha router hujibu kutoka kwa akiba au, ikiwa hakuna, hufungua swali lake mwenyewe kwa seva ya juu.

Hilo swali la pili lina router yenyewe kama chanzo na lengo lake mwenyewe, na jukwaa huchagua njia yake kutoka kwa kizuizi kingine cha usanidi. Mabadilishano yote mawili yana jina moja, na hakuna moja lililo nakala ya lingine. Kwa hivyo nasa iliyochukuliwa upande wa LAN huthibitisha pakiti ya mteja ilienda wapi na haisemi chochote kuhusu pakiti inayotoka.

Ukaguzi wa vitendo ni kuangalia pande zote mbili kwa wakati mmoja. Kwenye router, orodhesha soketi ya kitatuzi, iulize kwa ndani na unase kiolesura cha WAN:

sockstat -4 -l | grep :53
dig +short @127.0.0.1 example.com
tcpdump -ni igb0 udp port 53

Ikiwa orodha ya soketi inaonyesha msikilizaji aliyeunganishwa na anwani ya loopback au LAN, router hujibu kwa ndani badala ya kupitisha kwa mwenyeji mwingine. Kisha nasa huonyesha ikiwa swali la juu linalotokana na hilo linatoka kupitia kiolesura cha handaki au WAN, na hilo ni jibu ambalo kanuni ya njia ya sera isingelitoa kamwe.

Kwa nini njia ya sera haioni swali la pili kamwe

Kanuni za ukuta wa moto huandikwa kwa kiolesura, chanzo, lengo na bandari, na hutathminiwa kwa pakiti zinazopita kwenye kifaa. Swali ambalo router huunda halipiti kwenye chochote, kwa sababu mchakato wa ndani huikabidhi moja kwa moja kwa jedwali la njia. Uelekezaji wa sera na NAT kwa hivyo hutumika tu kwa njia iliyopitishwa, na ndiyo sababu seti ya kanuni inaweza kuonekana kamili na bado ikaacha DNS ya router nje ya handaki.

Tofauti hii hudumu baada ya kila uandikaji upya wa firmware kwa sababu inatokana na njia ya pakiti na si kipengele. Kila kitu ambacho kifaa hujitengenezea, kiwe ni maswali ya kitatuzi, ulandanishaji wa muda, ukaguzi wa masasisho au ufikiaji wa vioo vya pakiti, ni cha asili ya ndani na huanguka kwenye sehemu hiyo hiyo isiyoonekana. Ndiyo sababu pia jaribio kutoka kwa kompyuta mpito halithibitishi chochote kuhusu router.

Kitatuzi cha pfSense huamua wapi njia yake ya juu

pfSense huifanya mgawanyiko huo uonekane. Trafiki ya wateja inaweza kuelekezwa kwa sera kupitia lango la VPN ilhali trafiki ya ukuta wa moto yenyewe hufuata mpangilio wa kutoka wa kitatuzi badala ya kanuni za LAN. Kwenye kiolesura cha wavuti mpangilio huo uko chini ya Services > DNS Resolver > Outgoing Network Interfaces, na thamani yake ni orodha ya violesura ambavyo kitatuzi kinaweza kutumia kwa maswali ya juu.

Kutaja kiolesura cha handaki hapo, na kiolesura hicho pekee, ndiko kunakofanya utafutaji wa router yenyewe ufuate handaki. Ikiachwa kwenye chaguo-msingi, kitatuzi huchagua njia ya kutoka kutoka kwa jedwali la njia, ambayo kwenye mwenyeji mwenye WAN mbili au VPN mara nyingi ni WAN.

Firmware nyingine huonyesha uamuzi huo huo chini ya lebo tofauti: orodha ya seva za juu iliyounganishwa na anwani ya chanzo, hali ya kupitisha tu, au sera ya njia iliyoandikwa. Mpangilio wa kutafuta daima ni ule unaochagua njia ya kutoka au chanzo kwa maswali yaliyoundwa ndani. Marejeo ya usanidi wa kitatuzi huandika chaguo hilo kwa pfSense na inafaa kusomwa kabla ya mabadiliko.

Chagua tabia ya kushindwa kabla ya mpangilio

Handaki linapoanguka, tabia mbili zinaweza kutetewa: kusimamisha maswali ya juu ili chochote kisivuje, au kurudi kwa kitatuzi kilichoidhinishwa kwenye njia inayojulikana. Zote mbili ni sera, na hakuna moja inayopatikana kwa chaguo-msingi. Amua ipi mtandao unahitaji kabla ya kugusa orodha ya violesura.

Kufunga wakati wa kushindwa ni rahisi kutetewa, lakini hubadilisha kukatika kwa handaki kuwa kukatika kwa utatuzi wa majina kwa kila kifaa kilicho nyuma ya router. Kurudi nyuma huweka ofisi ikitumika, kwa gharama ya mabadilishano ya juu nje ya handaki ambayo lazima yapokewe kwa makusudi na si kwa bahati. Andika chaguo, kwa sababu mtu anayefuata kuona anwani ya kitatuzi nje ya VPN atasoma hilo kama uvujaji isipokuwa noti iseme vinginevyo. Noti hiyo ndiyo inayotenganisha kurudi nyuma lililoandikwa na ugunduzi usioelezwa katika mapitio ya robo inayofuata.

Kesi mbili hufanya uamuzi kuwa mgumu. Majina ya kibinafsi yanaweza kuhitaji kitatuzi cha ndani ambacho handaki linaweza kufikia, na kivinjari au programu iliyo na DNS yake iliyosimbwa inaweza kukwepa router kabisa, kwa hivyo kitatuzi ulichokisanidi si daima ndicho programu fulani inatumia.

Jaribu njia zote mbili na utenganishe matokeo

Jaribio la DNS kwenye kivinjari hujibu swali jembamba: kitatuzi kipi kivinjari hicho kilitumia, chini ya masharti ya jaribio hilo. Halihesabu vifaa vya mtandao na haliwezi kuona swali ambalo router iliunda kwa ajili yake yenyewe. Chukulia matokeo yake kama nukta moja ya data na si ukaguzi.

Kutoka kwa mteja wa LAN, omba router jina la umma kisha jina la kibinafsi ambalo eneo lako la ndani pekee linapaswa kujibu. Kushindwa kwenye swali la pili pekee kunaashiria upitishaji wa majina na si handaki:

dig @192.168.1.1 example.com
dig @192.168.1.1 intranet.example.lan

Kisha shusha handaki na urudie maswali yote mawili. Majibu yaliyokataliwa yanamaanisha kitatuzi hufunga wakati wa kushindwa; jibu lililofanikiwa linaashiria kitatuzi cha akiba na njia iliyotumika. Linganisha hilo na noti uliyoandika na nasa kwenye kiolesura cha WAN iliyochukuliwa dakika hiyo hiyo.

Tenganisha uchunguzi kwenye rekodi: mabadilishano ya mteja na router, mabadilishano ya router na seva ya juu, na usanidi ulioamua ya pili. Mabadiliko ya uelekezaji baadaye yatatumia mabadilishano hayo ya pili bila tahadhari. Jibu linalofika kutoka mahali pengine isipokuwa kitovu cha mwisho cha VPN si uvujaji wenyewe; huwa uvujaji pale tu usanidi ulipochagua njia hiyo kwa bahati.