రౌటర్ స్వంత DNS VPN సొరంగాన్ని ఎందుకు దాటవేస్తుంది?

క్లయింట్ లుకప్‌లు సొరంగాన్ని అనుసరిస్తాయి, కానీ రౌటర్ స్వంత లుకప్‌లు WAN ద్వారా బయటకు వెళ్తాయి, ఒకదాన్ని నియంత్రించే ఫైర్‌వాల్ నియమం మరొకదానిపై ఎలాంటి ప్రభావం చూపదు. కారణం బగ్ కాదు: ఫార్వార్డ్ చేసిన అభ్యర్థన మరియు రౌటర్ స్వయంగా సృష్టించే అభ్యర్థన రెండు వేర్వేరు ప్రవాహాలు, ప్రతిదీ కాన్ఫిగరేషన్‌లోని వేరే భాగంతో సరిపోల్చబడుతుంది. క్లయింట్‌లో సగం మాత్రమే సంగ్రహిస్తే రెండో సగం ఎప్పుడూ ఉపయోగించని మార్గం గురించి నమ్మకమైన సమాధానం వస్తుంది. పరిష్కారం రౌటర్ రిజాల్వర్‌ను ఉద్దేశపూర్వకంగా లక్ష్యంగా చేయడం, తర్వాత రెండు మార్గాలను విడివిడిగా పరీక్షించడం.

ప్యాకెట్ సంగ్రహణ నిజానికి ఏ ప్రవాహానికి చెందుతుంది

ఒక లుకప్‌లో రెండు మార్పిడులు ఉంటాయి. LAN క్లయింట్ రౌటర్ రిజాల్వర్‌కు ప్రశ్న పంపుతుంది, అది LAN ఇంటర్‌ఫేస్‌పై ఫార్వార్డ్ చేసిన ట్రాఫిక్‌గా వస్తుంది, కాబట్టి ఫార్వార్డ్ చేసిన ప్యాకెట్‌ల కోసం రాసిన విధాన మార్గం లేదా NAT నియమం దానితో సరిపోలవచ్చు. తర్వాత రౌటర్ కాష్ నుండి సమాధానమిస్తుంది లేదా లేకపోతే పైన ఉన్న సర్వర్‌కు తన స్వంత ప్రశ్నను తెరుస్తుంది.

ఆ రెండో ప్రశ్నకు మూలం రౌటర్ స్వయంగా, గమ్యం కూడా అదే, మరియు ప్లాట్‌ఫారమ్ దాని మార్గాన్ని మరో కాన్ఫిగరేషన్ బ్లాక్ నుండి ఎంచుకుంటుంది. రెండు మార్పిడులు ఒకే పేరును కలిగి ఉంటాయి, ఏదీ మరొకదాని ప్రతి కాదు. అందువల్ల LAN వైపు తీసుకున్న సంగ్రహణ క్లయింట్ ప్యాకెట్ ఎక్కడికి వెళ్ళిందో నిరూపిస్తుంది, బయటకు వెళ్లే ప్యాకెట్ గురించి ఏమీ చెప్పదు.

ఆచరణాత్మక తనిఖీ రెండు వైపులను ఒకేసారి గమనించడం. రౌటర్‌లో రిజాల్వర్ సాకెట్‌ను జాబితా చేయండి, స్థానికంగా అడగండి, WAN ఇంటర్‌ఫేస్‌ను సంగ్రహించండి:

sockstat -4 -l | grep :53
dig +short @127.0.0.1 example.com
tcpdump -ni igb0 udp port 53

సాకెట్ జాబితా loopback లేదా LAN చిరునామాకు కట్టుబడిన శ్రోతను చూపిస్తే, రౌటర్ మరో హోస్ట్‌కు ఫార్వార్డ్ చేయకుండా స్థానికంగా సమాధానమిస్తుంది. అప్పుడు సంగ్రహణ ఏర్పడిన అప్‌స్ట్రీమ్ ప్రశ్న సొరంగ ఇంటర్‌ఫేస్ ద్వారా లేదా WAN ద్వారా బయటకు వెళ్తుందో చూపిస్తుంది, అదే విధాన మార్గ నియమం ఎప్పుడూ ఇవ్వని సమాధానం.

విధాన మార్గం రెండో ప్రశ్నను ఎందుకు ఎప్పుడూ చూడదు

ఫైర్‌వాల్ నియమాలు ఇంటర్‌ఫేస్, మూలం, గమ్యం మరియు పోర్టుకు వ్యతిరేకంగా రాయబడతాయి, పరికరం గుండా వెళ్లే ప్యాకెట్‌లకు అవి మదింపు చేయబడతాయి. రౌటర్ సృష్టించే ప్రశ్న ఏ దాని గుండా వెళ్లదు, ఎందుకంటే స్థానిక ప్రక్రియ దానిని నేరుగా రూటింగ్ పట్టికకు అప్పగిస్తుంది. విధాన రూటింగ్ మరియు NAT కాబట్టి ఫార్వార్డ్ చేసిన మార్గానికి మాత్రమే వర్తిస్తాయి, అందుకే నియమాల సముదాయం పూర్తిగా కనిపించినా రౌటర్ DNS సొరంగం వెలుపల ఉండగలదు.

ఈ భేదం ప్రతి ఫర్మ్‌వేర్ పునర్లేఖనం తర్వాత కూడా నిలిచి ఉంటుంది, ఎందుకంటే అది లక్షణం నుండి కాదు, ప్యాకెట్ మార్గం నుండి వస్తుంది. పరికరం తన కోసం సృష్టించే ప్రతిదీ — రిజాల్వర్ ప్రశ్నలు, సమయ సమకాలీకరణ, నవీకరణ తనిఖీలు లేదా ప్యాకెట్ అద్దాల ప్రాప్తి — స్థానిక మూలం కలిగి ఉంటుంది, అదే గుడ్డి బిందువుకు పడుతుంది. అందుకే ల్యాప్‌టాప్ నుండి చేసిన పరీక్ష రౌటర్ గురించి ఏమీ నిరూపించదు.

pfSense రిజాల్వర్ తన అప్‌స్ట్రీమ్ మార్గాన్ని ఎక్కడ నిర్ణయిస్తుంది

pfSense ఈ విభజనను కనిపించేలా చేస్తుంది. క్లయింట్ ట్రాఫిక్‌ను విధానం ద్వారా VPN గేట్‌వే గుండా పంపవచ్చు, కానీ ఫైర్‌వాల్ స్వంత ట్రాఫిక్ LAN నియమాలకు బదులు రిజాల్వర్ నిష్క్రమణ సెట్టింగ్‌ను అనుసరిస్తుంది. వెబ్ ఇంటర్‌ఫేస్‌లో ఆ సెట్టింగ్ Services > DNS Resolver > Outgoing Network Interfaces కింద ఉంది, దాని విలువ రిజాల్వర్ అప్‌స్ట్రీమ్ ప్రశ్నల కోసం ఉపయోగించగల ఇంటర్‌ఫేస్‌ల జాబితా.

అక్కడ సొరంగ ఇంటర్‌ఫేస్‌ను, ఆ ఇంటర్‌ఫేస్‌ను మాత్రమే పేర్కొనడమే రౌటర్ స్వంత లుకప్‌లను సొరంగాన్ని అనుసరించేలా చేస్తుంది. అప్రమేయంగా ఉంచితే, రిజాల్వర్ రూటింగ్ పట్టిక నుండి నిష్క్రమణను ఎంచుకుంటుంది, రెండు WAN లేదా VPN హోస్ట్‌లో అది తరచుగా WAN.

ఇతర ఫర్మ్‌వేర్‌లు అదే నిర్ణయాన్ని వేరే లేబుల్ కింద బయటపెడతాయి: మూల చిరునామాకు కట్టుబడిన అప్‌స్ట్రీమ్ సర్వర్ జాబితా, ఫార్వార్డింగ్ మాత్రమే మోడ్, లేదా నమోదు చేసిన మార్గ విధానం. వెతకవలసిన సెట్టింగ్ ఎప్పుడూ స్థానికంగా సృష్టించిన ప్రశ్నలకు నిష్క్రమణ లేదా మూలాన్ని ఎంచుకునేదే.రిజాల్వర్ కాన్ఫిగరేషన్ సూచన pfSense కోసం ఆ ఎంపికను నమోదు చేస్తుంది, మార్పుకు ముందు చదవదగినది.

సెట్టింగ్‌కు ముందు వైఫల్య ప్రవర్తనను ఎంచుకోండి

సొరంగం పడినప్పుడు రెండు ప్రవర్తనలు సమర్థించదగినవి: ఏదీ లీక్ కాకుండా అప్‌స్ట్రీమ్ ప్రశ్నలను ఆపడం, లేదా తెలిసిన మార్గంలో ఆమోదించిన రిజాల్వర్‌కు తిరిగి వెళ్లడం. రెండూ విధానాలు, అప్రమేయంగా ఏదీ లభించదు. ఇంటర్‌ఫేస్ జాబితాను తాకే ముందు నెట్‌వర్క్‌కు ఏది కావాలో నిర్ణయించండి.

వైఫల్యంలో మూసివేయడం సమర్థించడం సులభం, కానీ అది సొరంగ నిలిపివేతను రౌటర్ వెనుక ఉన్న ప్రతి పరికరానికి పేరు పరిష్కార నిలిపివేతగా మారుస్తుంది. పునఃప్రవేశం కార్యాలయాన్ని ఉపయోగపడేలా ఉంచుతుంది, కానీ సొరంగం వెలుపల అప్‌స్ట్రీమ్ మార్పిడి ఖర్చుతో, అది ప్రమాదవశాత్తు కాదు ఉద్దేశపూర్వకంగా ఆమోదయోగ్యం కావాలి. ఎంపికను రాయండి, ఎందుకంటే VPN వెలుపల రిజాల్వర్ చిరునామాను చూసే తదుపరి వ్యక్తి నోట్ వేరే చెప్పకపోతే దాన్ని లీక్‌గా చదువుతారు. ఆ నోట్‌యే నమోదు చేసిన పునఃప్రవేశాన్ని తదుపరి త్రైమాసిక సమీక్షలో వివరించని ఆవిష్కరణ నుండి వేరు చేస్తుంది.

రెండు సందర్భాలు నిర్ణయాన్ని క్లిష్టతరం చేస్తాయి. ప్రైవేట్ పేర్లకు సొరంగం చేరగల అంతర్గత రిజాల్వర్ అవసరం కావచ్చు, మరియు తన స్వంత ఎన్‌క్రిప్టెడ్ DNS ఉన్న బ్రౌజర్ లేదా యాప్ రౌటర్‌ను పూర్తిగా దాటవేయగలదు, కాబట్టి మీరు కాన్ఫిగర్ చేసిన రిజాల్వర్ ఎప్పుడూ ఒక నిర్దిష్ట యాప్ ఉపయోగించేది కాదు.

రెండు మార్గాలను పరీక్షించి ఫలితాలను విడివిడిగా ఉంచండి

బ్రౌజర్ ఆధారిత DNS పరీక్ష ఒక సన్నని ప్రశ్నకు సమాధానమిస్తుంది: ఆ పరీక్ష పరిస్థితుల్లో ఆ బ్రౌజర్ ఏ రిజాల్వర్‌లను ఉపయోగించింది. అది నెట్‌వర్క్‌లోని పరికరాలను జాబితా చేయదు, రౌటర్ తన కోసం సృష్టించిన ప్రశ్నను చూడలేదు. దాని అవుట్‌పుట్‌ను ఆడిట్ కాదు, ఒక డేటా బిందువుగా పరిగణించండి.

LAN క్లయింట్ నుండి రౌటర్‌ను మొదట పబ్లిక్ పేరు, తర్వాత మీ అంతర్గత జోన్ మాత్రమే సమాధానమివ్వాల్సిన ప్రైవేట్ పేరు అడగండి. రెండో ప్రశ్నలో మాత్రమే వైఫల్యం సొరంగాన్ని కాదు, పేరు ఫార్వార్డింగ్‌ను సూచిస్తుంది:

dig @192.168.1.1 example.com
dig @192.168.1.1 intranet.example.lan

తర్వాత సొరంగాన్ని దించి రెండు ప్రశ్నలను పునరావృతం చేయండి. తిరస్కరించిన సమాధానాలు రిజాల్వర్ వైఫల్యంలో మూసుకుంటుందని అర్థం; విజయవంతమైన సమాధానం ప్రత్యామ్నాయ రిజాల్వర్ మరియు అది ఉపయోగించిన మార్గాన్ని సూచిస్తుంది. దాన్ని మీరు రాసిన నోట్ మరియు అదే నిమిషంలో WAN ఇంటర్‌ఫేస్‌పై తీసుకున్న సంగ్రహణతో పోల్చండి.

నమోదులో పరిశీలనలను విడివిడిగా ఉంచండి: క్లయింట్-రౌటర్ మార్పిడి, రౌటర్-అప్‌స్ట్రీమ్ మార్పిడి, మరియు రెండోదాన్ని నిర్ణయించిన కాన్ఫిగరేషన్. తర్వాతి రూటింగ్ మార్పు ఆ రెండో మార్పిడిని హెచ్చరిక లేకుండా నడుపుతుంది. VPN ముగింపు బిందువు కాకుండా మరో చోటి నుండి వచ్చే సమాధానం తనంతట తానే లీక్ కాదు; కాన్ఫిగరేషన్ ఆ మార్గాన్ని ప్రమాదవశాత్తు ఎంచుకున్నప్పుడే అది లీక్ అవుతుంది.