Policy routing ng OpenWrt: ang kadenang humuhuli sa lokal na DNS

Ang mga kliyente sa LAN ay nagre-resolve sa pamamagitan ng tunnel at ang sariling mga lookup ng router ay tahimik na hindi ginagawa ito. Ang mga update ng pakete, pag-sync ng oras at dynamic na DNS ay lumalabas sa karaniwang uplink habang ang bawat ipinasa na query ay kumukuha ng VPN, at wala sa interface ang nagpapahiwatig na may dalawang magkaibang landas. Ang paliwanag ay hindi bug sa patakaran kundi tanong kung aling hook ang nakakakita ng pakete. Dalawang daloy, isang address ng resolver, at isa lamang sa kanila ang tumatawid sa router. Ang paghihiwalay sa kanila ang buong pagwawasto.

Dalawang daloy, isang address ng resolver

Ang unang daloy ang inaakala ng mga tao. May kliyenteng nagtatanong sa resolver ng router, ipinapasa ng resolver pataas, at ang ipinasang pakete ay dumadaan sa router habang lumalabas. Nakikita ang paketeng iyon ng anumang nagmamasid sa ipinasang trapiko.

Ang pangalawang daloy ay hindi kailanman dumarating mula sa kahit saan. Ang router ang gumagawa nito, kaya walang papasok na pakete at walang hakbang ng pagpasa na itutugma.

Puwedeng pareho ang address ng resolver na target ng dalawa, at iyon mismo ang dahilan kung bakit madaling makaligtaan ang pagkakaiba. Parehong destinasyon, ibang pinagmulan, ibang kadena. Kapag nakita mo ang pinagmulan, sumusunod ang natitirang diagnosis.

Magkaibang pumapasok ang ipinasang at lokal na ginawang pakete

Sinusuri ang ipinasang trapiko kapag dumarating ito mula sa ibang interface. Inilalantad ito ng mga pakete ng policy routing bilang kadenang prerouting, at ang patakarang inilagay doon ay nakakakita ng bawat paketeng tumatawid sa router. Kaya kumikilos ang mga lookup ng kliyente nang eksakto ayon sa inilalarawan ng patakaran, at kaya binabalewala ito ng router. Hindi mali ang patakaran, nakakabit lamang ito sa hook na hindi kayang maabot ng router. Ilipat ito, at magsisimulang gumana ang parehong pagtutugma.

Ang lokal na ginawang trapiko ay ginagawa ng isang proseso sa router at pumapasok sa landas ng output. Iniruruta ito ng desisyon mismo ng router at nakikita lamang ang patakaran kung saklaw ng patakaran ang kadenang iyon. Walang papasok na interface na itutugma at walang desisyon ng pagpasa na mapagmamasdan.

Ito ay katangian ng kung saan ipinapanganak ang mga pakete, hindi ng isang partikular na pakete. Ang patakarang isinulat para sa isang kadena ay walang opinyon tungkol sa isa. Walang pag-tune ng patakaran ang makakabago nito.

Piliin ang kadenang output, pagkatapos ay paliitin ang pagtutugma

Ang pagwawasto ay ikabit din ang parehong layunin sa kadenang output, o ilipat doon ang patakaran kapag ang sariling mga query ng router ang mahalaga sa iyo. Sa isang setup ng OpenWrt na itinayo sa isang pakete ng policy routing, nangangahulugan ito ng pagpili ng output sa halip na prerouting sa setting ng kadena ng patakaran. Panatilihin ang dalawang patakaran kung ang dalawang populasyon ay nangangailangan ng saklaw.

Pagkatapos ay paliitin kung ano ang itinutugma ng patakaran. Ang mga address ng resolver ng destinasyon sa port na aktwal na ginagamit ng resolver ay isang mas maliit na desisyon kaysa sa pagpapadala sa tunnel ng lahat ng ginagawa ng router.

Panatilihing tahasan ang dalawang patakaran sa halip na subukang magsulat ng isang sumasaklaw sa dalawang kadena. Mas madaling basahin ang magkahiwalay na patakaran, at hinahayaan ka nitong patayin ang landas ng router nang hindi nakakagambala sa trapiko ng kliyente habang nagde-debug. Ginagawa rin nitong makabuluhan ang mga counter nang isa-isa.

Panatilihin ang sariling transport ng tunnel sa labas ng patakaran

Ang panlabas na koneksyon ng tunnel ay ginagawa rin ng router. Ang patakarang nagpapadala ng lahat ng lokal na ginawang trapiko sa tunnel ay iruruta ang tunnel sa pamamagitan ng sarili nito, at hindi ito aakyat talaga.

Ang pag-access ng pamamahala ang pangalawang biktima. Ang mga administratibong sesyon na nagmumula sa router, o ang mga sagot sa mga ito, ay maaaring hilahin sa tunnel ng isang masyadong malawak na lokal na patakaran at maging hindi maabot mula sa LAN.

Ibukod ang endpoint ng tunnel sa pagtutugma, at panatilihing limitado ang patakaran sa mga address ng resolver. Sapat na iyon para sa pangangailangan ng DNS at sapat na maliit para pag-isipan.

Subukan ang dalawang populasyon, hindi isa

Panoorin ang router na ginagawa ang sarili nitong query at itala kung aling interface ang nagdala nito. Ulitin ang lookup mula sa isang host ng LAN at itala kung aling landas ang tinahak nito. Ginagawa ng mga counter sa mga patakaran ng patakaran na makita ang dalawang sagot nang walang hula.

Ituring ang mga resulta bilang dalawang natuklasan. Ang kliyenteng nagre-resolve sa pamamagitan ng tunnel ay walang sinasabi tungkol sa router, at ang router na nagre-resolve nang tama ay walang sinasabi tungkol sa isang kliyente sa ibang tagapakinig. Isulat ang mga ito bilang magkahiwalay na linya sa talaan ng pagbabago.

Suriin din ang port: ang patakarang tumutugma sa destinasyong port 53 ay nakakaligtaan ang isang resolver na naaabot sa pamamagitan ng DNS over TLS sa 853 o endpoint ng HTTPS. Itugma ang transport na aktwal na ginagamit ng naka-configure na upstream, at nagsasara ang pagtagas para sa tamang dahilan.