OpenVPN istemcilerini başka bir ana bilgisayardaki Pi-hole çözümleyicisine yönlendirme

Bir OpenVPN profiline Pi-hole adresi koymak ona giden bir yol oluşturmaz, sorgulama izni vermez ve istemcinin onu kullanacağını garanti etmez. Pi-hole ayrı bir LAN makinesindeyken dört şeyin hizalanması gerekir: istemciden gelen yol, ağ geçidinden iletme, havuza dönüş yolu ve Pi-hole'un kendi kabul ilkesi. Her arıza günlükte farklı görünür. Bunları bu sırayla ele almak, sonuncuyu ilk düzeltmekten hızlıdır. Olağan kısa yol, her kaynağa özyinelemeyi açmak, küçük bir sorunu kalıcı bir sorunla değiştirir.

İtilen DNS seçeneğinin yaptığı ve yapmadığı şeyler

Sunucu, 192.168.50.53'ün Pi-hole ana bilgisayarı olduğunu varsayarak aşağıdaki yönergeyle bir çözümleyici duyurur. İstemci seçeneği alır ve, platformuna ve çözümleyici tümleşimine bağlı olarak , tünel arayüzüne uygular ya da yerel bir stub lehine yok sayar. Yol satırı en az DNS satırı kadar önemlidir, çünkü istemcinin ulaşamadığı bir çözümleyici hiçbir çözümleyici değildir. Bunların hiçbiri sunucu tarafından görünmez.

server 10.90.0.0 255.255.255.0
push "dhcp-option DNS 192.168.50.53"
push "route 192.168.50.0 255.255.255.0"

Bir seçeneği almak onu kullanmakla aynı şey değildir. Bir çözümleyici yöneticisine sahip Linux istemcisi itilen sunucuyu kabul edip ona yalnızca belirli alan adlarını gönderebilir; DNS'i kendi yöneten bir istemci ayarı tamamen ezebilir. İtilen yollar bazı platformlarda da kısıtlıdır, bu da seçenek kabul edilmiş olsa bile çözümleyiciyi ulaşılamaz bırakır. Hangi sunucunun yanıt verdiğini istemcide kontrol edin, sunucuda neyin gönderildiğini değil.

Seçenek sunucu tarafı hakkında da hiçbir şey söylemez. DNS trafiği yine de herhangi bir seçenek önem kazanmadan önce istemciden ağ geçidine ve ağ geçidinden Pi-hole'a gitmelidir. Eksik bir yol ile reddedilen bir sorgu istemci tarafından aynı görünür, bu yüzden önce ağ geçidindeki iletmeyi doğrulayın.

Pi-hole'dan havuza dönüş yolu

İstemcinin kaynak adresi korunursa Pi-hole, VPN havuzu içindeki bir adrese yanıt verir. Kendi yönlendirme tablosu muhtemelen bu havuz hakkında hiçbir şey bilmez, bu yüzden yanıt varsayılan ağ geçidine gider ve kaybolur. Sorgu günlüğü, eşleşen yanıtı olmayan bir istek gösterir; bu da güvenlik duvarı sorunuyla kolayca karıştırılır.

LAN yönlendiricisine, OpenVPN ağ geçidi bir sonraki atlama olacak şekilde havuz için statik bir yol verin ya da Pi-hole'a iletmeden önce kaynağı ağ geçidinde çevirin. Birincisi her istemcinin adreslerini Pi-hole'un sorgu günlüğünde görünür tutar. İkincisi dönüş yolu gereksinimini kaldırır ama her sorgunun ağ geçidinden geliyormuş gibi görünmesine yol açar. İkisi de yanlış değildir; farklı sorulara yanıt verirler.

İstemci başına raporlama veya ilke önemliyse statik yol daha iyi bir takastır. LAN başkası tarafından yönetiliyorsa ve yol yoksa, çeviri pragmatik seçenektir; istemci kimliğinin kaybı not edilmelidir. Hangisini seçtiğinizi kaydedin, çünkü sonraki her günlük sorusu buna bağlıdır.

Yönlendirilen istemciler için Pi-hole'un dinleme kipi

Arayüzlerin dinleme davranışı açılır listesi, DNS altındaki ayarlar sayfasında, Pi-hole'un hangi kaynaklara yanıt vereceğine karar verir. En katı seçenek yalnızca doğrudan bağlı ağlardaki istemcileri kabul eder; cihazlara en fazla bir atlama uzaklık tanıyan seçenek bunu komşu yönlendiricinin arkasındaki alt ağlara genişletir ve yönlendirilen bir VPN istemcisi tam olarak böyle görünür. Paket gerçekten LAN arayüzüne ulaşır, ancak kaynak adresi farklı bir alt ağa aittir. Bu bir yönlendirme arızası değil ilke reddidir ve fark, günlükleri okurken önemlidir.

Pi-hole'un dinleme kılavuzu yerel olarak bağlı kaynakları yönlendirilen kökenlerden ayırır ve varış arayüzü ölçüt değildir. Tüm interneti izin vermeden VPN havuzuna izin veren bir kip seçin, sonra bunu yalnızca havuzdan DNS kabul eden bir güvenlik duvarı kuralıyla eşleştirin.

İlk sorgunun çalışması için özyinelemeyi tüm kökenlere açmak yanlış onarımdır. Özel bir çözümleyiciyi açık bir çözümleyiciye dönüştürür ve düzeltme genel bir izin değil, kapsamı belirli bir izindir.

Yanıtı sorgu günlüğüyle eşleştirin

İstemciye sorun, sonra sunucuyu kontrol edin ve ikisini karşılaştırın. systemd-resolved kullanan bir istemcide aşağıdaki komutlar hangi çözümleyicinin yanıt ürettiğini ve bağlantı başına hangi sunucuların yapılandırıldığını bildirir. Yalnızca Pi-hole'un bildiği bir ad kullanın, çünkü Pi-hole adresine doğrudan sorgu yapılandırmayı değil erişilebilirliği kanıtlar.

resolvectl query intranet.example.lan
resolvectl dns

Beklenen yanıt 192.168.50.53'ü sunucu olarak adlandırır ve yalnızca o çözümleyicinin bileceği bir adres döndürür. Sonra Pi-hole'un kendi görünümüne bakın: pihole -t sorgu günlüğünü canlı izler ve her satır kaynak adresini taşır. Kaynak istemcinin tünel adresiyse havuz yolu sağlamdır. Ağ geçidinin LAN adresiyse kaynak çevirisi devrededir ve istemcinin kendi adresi asla görünmez.

Günlükte hiçbir şey görünmüyorsa sorgu Pi-hole'a hiç ulaşmamıştır ve kontrol edilecek sıradaki şey ağ geçidindeki iletmedir. Sorgu görünüyor ama yanıt dönmüyorsa sorun dönüş yoludur, yani önceki bölüm. Arızayı bu şekilde ayırmak, bir yönlendirme hatasının güvenlik duvarı kuralı sanılmasını önler.

Ağ geçidinin iletme kuralını kontrol edin

Ağ geçidi istemcinin DNS paketlerini Pi-hole'a doğru iletmelidir ve bunu yapan kural varsayılmak yerine okunmaya değer. Aşağıdaki komutlar 53 numaralı bağlantı noktasına dokunan kuralları sayaçlarla listeler; bir nftables ana bilgisayarında ve bir iptables ana bilgisayarında. Var olan ama sıfır eşleşme gösteren bir kural, trafiğin çevrilmeden önce düşürüldüğünün işaretidir.

sudo nft list ruleset | grep -A3 'dport 53'
sudo iptables -t nat -L POSTROUTING -n -v | grep 53

Sayaçları okuyun, yalnızca kuralları değil. Hiç eşleşmeyen bir kural, paketin başka bir arayüzden çıktığı veya istemcinin onu hiç göndermediği anlamına gelir. Her sorguda eşleşen bir kural, iletmenin çalıştığı ve sorunun yolun ilerisinde olduğu anlamına gelir.

Ana bilgisayar hangi aracı kullanırsa kullansın kontrolü dar tutun: kaynak olarak havuz, hedef olarak 53 numaralı bağlantı noktası ve izin verilen tek hedef olarak Pi-hole. 80 numaralı bağlantı noktasına da izin veren geniş bir iletme kuralı, olmayı bekleyen başka bir sorundur.