WireGuard haisukumi DNS: kuhudumia eneo la BIND la kibinafsi

Handshake hubeba funguo na IP zilizoruhusiwa, kamwe haibeba kitatuzi. Hapa kuna eneo la BIND 9 la kibinafsi lililotengenezwa pamoja na sera ya mteja kwa kila kiungo inayolifanya litatuliwe.

Umeinua WireGuard, handaki inapita trafiki, na jina la ndani bado halitatuliwi. Hatua inayofuata kwa kawaida ni kutafuta mpangilio wa DNS katika usanidi wa WireGuard, kana kwamba mwenza anaweza kusukuma kitatuzi kama VPN nyingine zingine hufanya. Hawezi. Handshake hubeba funguo, anwani za kiolesura na IP zilizoruhusiwa, na haina uwanja wa seva za DNS au vikoa vya utafutaji. Sera ya kitatuzi inakaa kwa mteja, na hapo ndipo marekebisho yanapaswa kuwa.

Handaki na kitatuzi ni mikataba tofauti

WireGuard ni ndogo kwa makusudi. Husogeza pakiti kwa anwani unazoorodhesha na huthibitisha wenza; kila kitu juu ya tabaka hilo ni muundo wako. OpenVPN inaweza kusukuma dhcp-option DNS kwa sababu kituo chake cha udhibiti hubeba usanidi, na tofauti hiyo huwakwaza wanaohama kati ya hizo mbili.

Kwa hiyo handaki inayofanya kazi haisemi chochote kuhusu utatuzi wa majina. Mteja anaweza kuwa na njia kamili kuelekea 10.90.0.1 na bado kutuma maswali yake kwa kitatuzi cha umma, ndiyo sababu dalili inaonekana kama “VPN ilivunja DNS” wakati DNS haikuwahi kuelekezwa kwa VPN.

Hudumia eneo bila kuwa kitatuzi cha kurudia

Upande wa seva ni eneo dogo lenye mamlaka, si kitatuzi cha jumla. Katika mfano huu lango ni 10.90.0.1, wateja ni 10.90.0.0/24, na programu unayojali hujibu kwenye 10.60.0.20.

Unganisha mipangilio hii kwenye kizuizi cha options kilichopo badala ya kuunda kingine:

options {
    listen-on { 127.0.0.1; 10.90.0.1; };
    listen-on-v6 { none; };
    allow-query { 127.0.0.1; 10.90.0.0/24; };
    allow-transfer { none; };
    recursion no;
};

Kisha tangaza eneo na faili yake:

zone "corp.example" {
    type primary;
    file "/etc/bind/db.corp.example";
};
$TTL 300
@ IN SOA ns.corp.example. hostmaster.corp.example. ( 1 3600 600 604800 300 )
@      IN NS ns.corp.example.
ns     IN A  10.90.0.1
portal IN A  10.60.0.20

Thibitisha kabla ya kupakia upya, kwa sababu hitilafu ya sintaksia wakati wa kupakia huangusha seva yote kwa kila eneo inalohudumia:

named-checkconf
named-checkzone corp.example /etc/bind/db.corp.example

Fungua UDP na TCP 53 kwenye kiolesura cha VPN pekee. Kuchapisha mamlaka ya kibinafsi kwenye kiolesura cha umma hualika maswali na uhesabuji pia, na allow-transfer inapaswa kubaki imefungwa isipokuwa sekondari inahitaji kwa dhati.

Elekeza mteja kwake, kwa kila kiungo

Chukulia kuwa muunganisho unamilikiwa na NetworkManager na kitatuzi ni systemd-resolved. Soma sera iliyopo kwanza, hasa kikoa chochote cha uelekezaji wa mzizi, kwa sababu ingizo la ~. litapita kile unachokaribia kuongeza.

nmcli connection modify wg-office +ipv4.dns 10.90.0.1
nmcli connection modify wg-office +ipv4.dns-search '~corp.example'

Tilde ni herufi muhimu. Inaashiria kikoa kama njia-pekee: majina chini ya corp.example yanaenda kwa seva ya DNS ya kiungo hiki, na kikoa hakiambatanishwi kama kiambishi cha utafutaji wa majina mafupi. Bila hiyo, kuandika portal huanza kutatua portal.corp.example, jambo ambalo ni rahisi kwako na la kushangaza kwa kila mtu mwingine. Weka tilde ndani ya alama za nukuu, kwa sababu isiyo na nukuu ni upanuzi wa shell unaosubiri kuelekeza kwenye saraka yako ya nyumbani.

Tumia mabadiliko kupitia msimamizi anayemiliki kiolesura, kisha unganisha tena muunganisho. Usianzishe kielelezo cha pili cha wg-quick kwa kiolesura kimoja; wamiliki wawili watagombana kuhusu njia na mmoja wao atashinda wakati mbaya zaidi.

Thibitisha njia kabla ya jina

Uliza jina kutoka kwa mteja na uthibitishe jibu na seva iliyolizalisha:

resolvectl query portal.corp.example

Ikiwa hiyo inarudisha 10.60.0.20, mkataba wa DNS umetimizwa. Ikiwa inaisha muda, angalia kwanza njia kuelekea 10.90.0.1, kisha kanuni ya firewall, kisha allow-query kwenye seva. Hitilafu za utatuzi wa majina katika mpangilio huu karibu kila mara ni ufikivu au ACL, si faili ya eneo. Fanya kazi kutoka kwa mteja kuelekea nje, kwa sababu seva haiwezi kukuambia kwa nini swali halikuwahi kufika.

Kumbuka kwamba programu bado inahitaji njia yake mwenyewe na ruhusa yake ya huduma. Jina lililotatuliwa linaloelekeza kwenye anwani isiyofikika ni hitilafu nyingine katika mavazi yale yale.

Kile ambacho bado si kiotomatiki

Programu zilizo na mantiki yao ya kitatuzi hupuuza kitatuzi cha mfumo kabisa, na kiasi chochote cha nmcli hakibadilishi hilo. Usanikishaji unaothibitisha DNSSEC unahitaji muundo wazi wa nanga ya uaminifu kwa eneo la kibinafsi; jibu si maagizo ya jumla ya kuzima uthibitishaji. Jaribu kwa programu hiyo hiyo ya mteja ambayo watumiaji wako wanaiendesha, si kwa chombo kinachotumia kitatuzi cha mfumo kwa bahati. Pengo kati ya hizo mbili ndilo ripoti yote ya hitilafu.

Makundi makubwa yanaweza kuendesha sera hii ya mteja kiotomatiki kupitia mfumo wao wa ugavi, lakini sera inabaki kitu tofauti chenye mmiliki. Rejea ya BIND 9 inashughulikia vidhibiti vya kusikiliza na vya maswali vilivyotumika hapo juu, na ndiyo mahali sahihi pa kuthibitisha tabia kwa toleo lako lililosakinishwa.

Hatua inayofuata: ongeza nyongeza ya namba ya mfuatano wa eneo na amri za ukaguzi kwenye utaratibu wako wa mabadiliko, ili uhariri wa rekodi usiweze kufikia uzalishaji bila kukaguliwa.

Makala zinazohusiana