Ev VPN'inize nas.home.arpa için kendi DNS kayıtlarını verin

Tünel ayaktayken son adım genellikle yer imine yapıştırdığınız adres yerine çalışan bir addır. Bir dnsmasq ana bilgisayar kaydı ve istemcinin ulaşabildiği bir çözücü adresi bunu iki dosyayla ve multicast olmadan yapar. Gerçekten düşünmeyi gerektiren karar daha dardır: istemci tüm DNS'i ev çözücüsü üzerinden mi gönderiyor, yoksa yalnızca home.arpa altındaki adları mı? Aşağıdakilerin tümü, Linux istemcisi ve ev yöneticisinin zaten yönettiği bir laboratuvar çözücüsü olan onaylı bir WireGuard kurulumunu varsayar.

İstemciye çözücü vermenin üç yolu

Tünele ara sıra katılan bir dizüstü bilgisayar için split-DNS daha iyi varsayılandır: sıradan internet adlarını makinenin zaten güvendiği çözücüde tutar. Ev hizmetlerine ulaşmak için var olan bir makine için çözücüyü itmek daha basittir ve kapsam maliyeti önemli değildir.

Kaydı bölgeye sahip olan çözücüde yayımlayın

Yapılandırmayı yazmadan önce rolleri ayrı tutun: VPN istemcisinin adresi, çözücü ve hizmet üç farklı işe sahip üç farklı ana bilgisayardır. Bu laboratuvarda bunlar istemci için 10.77.0.2, dnsmasq için 192.168.50.53 ve NAS için 192.168.50.20'dir; tünel ev LAN'ını yönlendirir.

listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20

host-record satırı adresi sağlar ve local= satırı bilinmeyen home.arpa sorularını yukarı iletmek yerine bu çözücünün içinde tutar. Önce mevcut yapılandırmanızı okuyun ve hâlihazırda bir sunucu, bir arayüz ya da aynı yerel etki alanını tanımlayan her şeyi uyumlu hale getirin; çelişkili bir yapılandırmanın üzerine parça yığmak, sevinçle yüklenen ve yanlış yanıt veren bir çözücü üretir. dnsmasq kılavuzu her iki yönergeyi ve dinleme kontrollerini tanımlar.

Ardından dosyayı değil, çalışan hizmeti doğrulayın. Bir yapılandırma testi ve yeniden başlatma asgari düzeydir ve gerçek yanıt bir sorgunun döndürdüğüdür.

Çözücüyü yönlendirin, yalnızca web sayfasını değil

WireGuard'ın AllowedIPs değeri hangi hedeflerin tünele gireceğine karar verir. Çözücü adresi bunun dışında kalırsa sorgu normal yoldan çıkar ve NAS'ın kendisi erişilebilir olsa bile dnsmasq'a asla ulaşmaz. Çözücünün adresini veya onu içeren LAN önekini ekleyin ve diğer taraftaki ağ geçidinin iletme ilkesini denetleyin.

Yetkili tünel aralığından 53 numaralı bağlantı noktasında UDP ve TCP'ye izin verin, istemcinin tünel adresine dönüş yolu ile. Testi kolaylaştırmak için 53 numaralı bağlantı noktasını WAN'dan iletmeyin: ev bağlantısında açık bir özyinelemeli çözücü saatler içinde bulunur. Bir arayüze bağlanmak kendi başına bir erişim ilkesi değildir.

Yanıtı uygulamadan önce denetleyin

Önce çözücüye doğrudan sorun, sonra sisteme, sonra uygulamaya. Her adım zincirdeki bir halkayı yalıtır ve aralarındaki fark tanıdır.

dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'

TCP sorgusunu çalıştırmaya değer çünkü kesilmiş bir UDP yanıtı yeniden denemeyi zorlar ve TCP 53'ü düşüren bir ilke aralıklı görünen arızalar üretir. getent adımı makinenin çözücü yapılandırmasının gerçekte ne yaptığını gösterir ve bu her zaman ittiğiniz şey değildir.

Tünel kapalıyken ne olacağına karar verin

İstemcinin genel DNS'i 192.168.50.53'ü gösteriyorsa tünel ayakta değilken tüm ad çözümlemesi durur. Bu, yalnızca tünelle yararlı olan bir makinede kabul edilebilir ve kafe Wi-Fi'ını da kullanan bir dizüstünde kabul edilemez. Split-DNS soruyu tamamen atlar, çünkü yalnızca home.arpa aramaları ev çözücüsüne bağlıdır.

Adın ne olduğunu hatırlayın: home.arpa konut ağları için ayrılmıştır ve küresel olarak benzersiz değildir, bu yüzden başka bir ağ aynı adı meşru şekilde kullanabilir. Bu yerel bir kolaylıktır, güvenilir bir tanımlayıcı değildir. Hizmet taşındığında kaydı güncel tutun ve laboratuvar kapatıldığında çözücü ilkesini kaldırın; artık var olmayan bir tünel üzerinden ulaşılabilen bir adrese işaret eden bir dizüstü bırakmak yerine.