உங்கள் வீட்டு VPN-க்கு nas.home.arpa-க்கான சொந்த DNS பதிவுகளைக் கொடுங்கள்
dnsmasq-இல் இருந்து ஒரு பெயரை வெளியிடுங்கள், resolver-ஐ WireGuard வழியாக வழிமாற்றுங்கள், பின்னர் முழு கிளையன்டுக்கும் DNS தள்ளுவதற்கும் home.arpa-க்கு மட்டும் split-DNS-க்கும் இடையே தேர்ந்தெடுங்கள்.
பாதை மேலே வந்த பிறகு, கடைசி படி பொதுவாக புக்மார்க்கில் ஒட்டும் முகவரிக்குப் பதிலாக வேலை செய்யும் பெயராகும். dnsmasq புரவலன் பதிவும் கிளையன்ட் அடையக்கூடிய resolver முகவரியும் அதை இரண்டு கோப்புகளில் multicast இல்லாமல் செய்கின்றன. உண்மையில் சிந்திக்க வேண்டிய முடிவு மிகக் குறுகியது: கிளையன்ட் அனைத்து DNS-ஐயும் வீட்டு resolver வழியாக அனுப்புகிறதா, அல்லது home.arpa கீழ் உள்ள பெயர்களை மட்டுமா? கீழே உள்ள அனைத்தும் Linux கிளையன்ட் மற்றும் வீட்டு நிர்வாகி ஏற்கனவே நிர்வகிக்கும் ஆய்வக resolver கொண்ட அங்கீகரிக்கப்பட்ட WireGuard அமைப்பைக் கருதுகிறது.
கிளையன்டுக்கு resolver வழங்க மூன்று வழிகள்
| Approach | Scope | Cost |
|---|---|---|
DNS = in the wg-quick interface | the client's general DNS while the tunnel is up | every name in the house now depends on the tunnel |
Platform split-DNS for home.arpa | only that suffix | more configuration per client platform |
Manual dig @resolver | one query at a time | fine for testing, useless for applications |
எப்போதாவது பாதையில் இணையும் மடிக்கணினிக்கு split-DNS சிறந்த இயல்புநிலை: சாதாரண இணையப் பெயர்களை இயந்திரம் ஏற்கனவே நம்பும் resolver-இல் வைத்திருக்கிறது. வீட்டுச் சேவைகளை அடைய இருக்கும் இயந்திரத்திற்கு resolver-ஐ தள்ளுவது எளிமையானது, மற்றும் வீச்சின் செலவு முக்கியமல்ல.
மண்டலத்தைக் கொண்ட resolver-இல் பதிவை வெளியிடுங்கள்
கட்டமைப்பை எழுதும் முன் பாத்திரங்களைப் பிரிக்கவும்: VPN கிளையன்ட் முகவரி, resolver மற்றும் சேவை மூன்று வெவ்வேறு வேலைகளைக் கொண்ட மூன்று வெவ்வேறு புரவலர்கள். இந்த ஆய்வகத்தில் அவை கிளையன்டுக்கு 10.77.0.2, dnsmasq-க்கு 192.168.50.53 மற்றும் NAS-க்கு 192.168.50.20, மேலும் பாதை வீட்டு LAN-ஐ வழிமாற்றுகிறது.
listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20host-record வரி முகவரியை வழங்குகிறது, local= வரி தெரியாத home.arpa கேள்விகளை மேலே அனுப்புவதற்குப் பதிலாக இந்த resolver-க்குள் வைத்திருக்கிறது. முதலில் உங்கள் தற்போதைய கட்டமைப்பைப் படித்து, ஏற்கனவே சேவையகம், இடைமுகம் அல்லது அதே உள்ளூர் களத்தை வரையறுக்கும் அனைத்தையும் ஒத்திசைக்கவும்; முரணான ஒன்றின் மேல் ஒரு துண்டை அடுக்கினால் மகிழ்ச்சியாக ஏற்றப்பட்டு தவறாகப் பதிலளிக்கும் resolver உருவாகும். dnsmasq கையேடு இரண்டு கட்டளைகளையும் கேட்புக் கட்டுப்பாடுகளையும் வரையறுக்கிறது.
பின்னர் கோப்பை அல்ல, இயங்கும் சேவையைச் சரிபார்க்கவும். கட்டமைப்புச் சோதனையும் மறுதொடக்கமும் குறைந்தபட்சம், மேலும் பயனுள்ள பதில் வினவல் திருப்பித் தருவதே.
resolver-ஐ வழிமாற்றுங்கள், வலைப்பக்கத்தை மட்டும் அல்ல
WireGuard-இன் AllowedIPs எந்த இலக்குகள் பாதைக்குள் நுழைகின்றன என்பதைத் தீர்மானிக்கிறது. resolver முகவரி அதற்கு வெளியே விழுந்தால், வினவல் சாதாரண பாதை வழியாக வெளியேறி dnsmasq-ஐ ஒருபோதும் அடையாது, NAS தானே அணுகக்கூடியதாக இருந்தாலும். resolver-இன் முகவரியையோ அதைக் கொண்ட LAN முன்னொட்டையோ சேர்க்கவும், மறுபக்க நுழைவாயிலின் அனுப்பல் கொள்கையைச் சரிபார்க்கவும்.
அங்கீகரிக்கப்பட்ட பாதை வரம்பில் இருந்து 53 துறைமுகத்தில் UDP மற்றும் TCP-க்கு அனுமதி கொடுங்கள், கிளையன்டின் பாதை முகவரிக்குத் திரும்பும் வழியுடன். சோதனையை எளிதாக்க WAN-இல் இருந்து 53 துறைமுகத்தை அனுப்ப வேண்டாம்: வீட்டு இணைப்பில் திறந்த மீள்சுழற்சி resolver சில மணிநேரங்களில் கண்டறியப்படும். இடைமுகத்தில் பிணைப்பது தானாகவே அணுகல் கொள்கை அல்ல.
பயன்பாட்டிற்கு முன் பதிலைச் சரிபார்க்கவும்
முதலில் resolver-ஐ நேரடியாகக் கேளுங்கள், பின்னர் கணினியை, பின்னர் பயன்பாட்டை. ஒவ்வொரு படியும் சங்கிலியில் ஒரு இணைப்பைத் தனிமைப்படுத்துகிறது, அவற்றுக்கிடையேயான வேறுபாடே கண்டறிதல்.
dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'TCP வினவலை இயக்குவது மதிப்புள்ளது, ஏனெனில் துண்டிக்கப்பட்ட UDP பதில் மீண்டும் முயலக் கட்டாயப்படுத்துகிறது, TCP 53-ஐ வீசும் கொள்கை இடைவிட்டதாகத் தோன்றும் தோல்விகளை உருவாக்குகிறது. getent படி இயந்திரத்தின் resolver கட்டமைப்பு உண்மையில் என்ன செய்கிறது என்பதைக் காட்டுகிறது, அது நீங்கள் அனுப்பியதாகவே இருக்க வேண்டியதில்லை.
பாதை கீழே இருக்கும்போது என்ன நடக்கும் என்பதைத் தீர்மானிக்கவும்
கிளையன்டின் பொது DNS 192.168.50.53-ஐச் சுட்டினால், பாதை மேலே இல்லாதபோது அனைத்து பெயர் தீர்வும் நிற்கும். பாதையுடன் மட்டுமே பயனுள்ள இயந்திரத்தில் இது ஏற்கத்தக்கது, கஃபே Wi-Fi-ஐயும் பயன்படுத்தும் மடிக்கணினியில் ஏற்கத்தக்கதல்ல. Split-DNS இந்தக் கேள்வியை முழுவதுமாகத் தவிர்க்கிறது, ஏனெனில் home.arpa தேடல்கள் மட்டுமே வீட்டு resolver-ஐச் சார்ந்தவை.
பெயர் என்ன என்பதை நினைவில் கொள்ளுங்கள்: home.arpa குடியிருப்பு வலையமைப்புகளுக்கு ஒதுக்கப்பட்டுள்ளது, உலகளவில் தனித்துவமானது அல்ல, எனவே மற்றொரு வலையமைப்பு அதே பெயரைச் சட்டப்பூர்வமாகப் பயன்படுத்தலாம். இது உள்ளூர் வசதி, நம்பகமான அடையாளம் அல்ல. சேவை நகரும் போது பதிவைப் புதுப்பித்து வைத்திருங்கள், ஆய்வகம் ஓய்வு பெறும்போது resolver கொள்கையை நீக்குங்கள், இனி இல்லாத பாதை வழியாக மட்டுமே அடையக்கூடிய முகவரியைச் சுட்டும் மடிக்கணினியை விட்டுவிடாமல்.