اپنے ہوم VPN کو nas.home.arpa کے لیے اپنے DNS ریکارڈ دیں
dnsmasq سے ایک نام شائع کریں، resolver کو WireGuard کے ذریعے روٹ کریں، پھر پورے کلائنٹ کو DNS بھیجنے اور صرف home.arpa کے لیے split-DNS کے درمیان انتخاب کریں۔
سرنگ بلند ہونے کے بعد، آخری قدم عام طور پر بک مارک میں چسپاں کیے گئے پتے کی بجائے کام کرنے والا نام ہوتا ہے۔ dnsmasq میزبان ریکارڈ اور resolver کا وہ پتہ جہاں تک کلائنٹ پہنچ سکتا ہے، یہ دو فائلوں میں اور multicast کے بغیر کر دیتے ہیں۔ جس فیصلے پر واقعی سوچنا پڑتا ہے وہ زیادہ تنگ ہے: کیا کلائنٹ سارا DNS گھر کے resolver سے بھیجتا ہے، یا صرف home.arpa کے تحت نام؟ نیچے سب کچھ Linux کلائنٹ اور گھر کے منتظم کے زیرِ انتظام لیب resolver کے ساتھ منظور شدہ WireGuard ترتیب کو فرض کرتا ہے۔
کلائنٹ کو resolver دینے کے تین طریقے
| Approach | Scope | Cost |
|---|---|---|
DNS = in the wg-quick interface | the client's general DNS while the tunnel is up | every name in the house now depends on the tunnel |
Platform split-DNS for home.arpa | only that suffix | more configuration per client platform |
Manual dig @resolver | one query at a time | fine for testing, useless for applications |
جو لیپ ٹاپ کبھی کبھار سرنگ میں شامل ہوتا ہے، اس کے لیے split-DNS بہتر ڈیفالٹ ہے: یہ عام انٹرنیٹ نام اسی resolver پر رکھتا ہے جس پر مشین پہلے ہی بھروسا کرتی ہے۔ جس مشین کا مقصد گھریلو خدمات تک پہنچنا ہے، اس کے لیے resolver کو دھکیلنا آسان ہے اور دائرے کی قیمت اہم نہیں۔
ریکارڈ اسی resolver پر شائع کریں جو زون کا مالک ہے
ترتیب لکھنے سے پہلے کردار الگ رکھیں: VPN کلائنٹ کا پتہ، resolver اور خدمت تین مختلف کاموں والے تین مختلف میزبان ہیں۔ اس لیب میں وہ کلائنٹ کے لیے 10.77.0.2، dnsmasq کے لیے 192.168.50.53 اور NAS کے لیے 192.168.50.20 ہیں، اور سرنگ گھریلو LAN کو روٹ کرتی ہے۔
listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20host-record سطر پتہ فراہم کرتی ہے اور local= سطر نامعلوم home.arpa سوالات کو اوپر بھیجنے کی بجائے اسی resolver کے اندر رکھتی ہے۔ پہلے اپنی موجودہ ترتیب پڑھیں اور جو پہلے ہی سرور، انٹرفیس یا اسی مقامی ڈومین کی تعریف کرتا ہے اسے ہم آہنگ کریں؛ متضاد کے اوپر ٹکڑا رکھنے سے ایسا resolver بنتا ہے جو خوشی سے لوڈ ہوتا ہے اور غلط جواب دیتا ہے۔ dnsmasq دستی دونوں ہدایات اور سماعت کے کنٹرول کی تعریف کرتا ہے۔
پھر فائل نہیں، چلتی ہوئی خدمت کی تصدیق کریں۔ ترتیب کا امتحان اور دوبارہ آغاز کم از کم ہے، اور مؤثر جواب وہی ہے جو استفسار واپس کرتا ہے۔
resolver کو روٹ کریں، صرف ویب صفحہ نہیں
WireGuard کا AllowedIPs طے کرتا ہے کہ کونسی منزلیں سرنگ میں داخل ہوتی ہیں۔ اگر resolver کا پتہ اس سے باہر ہو تو استفسار عام راستے سے نکل جاتا ہے اور کبھی dnsmasq تک نہیں پہنچتا، اگرچہ NAS خود قابلِ رسائی ہو۔ resolver کا پتہ یا اسے محیط LAN سابقہ شامل کریں، اور دوسری طرف گیٹ وے کی فارورڈنگ پالیسی جانچیں۔
مجاز سرنگ کی حد سے پورٹ 53 پر UDP اور TCP کی اجازت دیں، کلائنٹ کے سرنگ پتے تک واپسی راستے کے ساتھ۔ امتحان آسان بنانے کے لیے WAN سے پورٹ 53 فارورڈ نہ کریں: گھریلو کنکشن پر کھلا تکراری resolver گھنٹوں میں مل جاتا ہے۔ انٹرفیس سے بندھنا بذاتِ خود رسائی پالیسی نہیں۔
ایپلیکیشن سے پہلے جواب جانچیں
پہلے resolver سے براہِ راست پوچھیں، پھر نظام سے، پھر ایپلیکیشن سے۔ ہر قدم زنجیر کی ایک کڑی الگ کرتا ہے، اور ان کا فرق ہی تشخیص ہے۔
dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'TCP استفسار چلانا مناسب ہے، کیونکہ کٹا ہوا UDP جواب دوبارہ کوشش پر مجبور کرتا ہے، اور TCP 53 کو گرا دینے والی پالیسی ایسی ناکامیاں پیدا کرتی ہے جو وقفے وقفے سے دکھتی ہیں۔ getent قدم دکھاتا ہے کہ مشین کی resolver ترتیب واقعی کیا کرتی ہے، جو ہمیشہ وہی نہیں ہوتا جو آپ نے بھیجا۔
طے کریں کہ سرنگ بند ہونے پر کیا ہوتا ہے
اگر کلائنٹ کا عمومی DNS 192.168.50.53 کی طرف اشارہ کرتا ہے، تو سرنگ بلند نہ ہونے پر ہر نام کا حل رک جاتا ہے۔ یہ ایسی مشین پر قابلِ قبول ہے جو صرف سرنگ کے ساتھ مفید ہو، اور ایسے لیپ ٹاپ پر ناقابلِ قبول ہے جو کیفے کی Wi-Fi بھی استعمال کرتا ہو۔ Split-DNS اس سوال سے مکمل طور پر بچتا ہے، کیونکہ صرف home.arpa کی تلاشیں گھر کے resolver پر منحصر ہیں۔
یاد رکھیں کہ نام کیا ہے: home.arpa رہائشی نیٹ ورکس کے لیے مخصوص ہے اور عالمی طور پر منفرد نہیں، اس لیے دوسرا نیٹ ورک وہی نام قانونی طور پر استعمال کر سکتا ہے۔ یہ مقامی سہولت ہے، قابلِ اعتماد شناخت نہیں۔ خدمت منتقل ہونے پر ریکارڈ تازہ رکھیں، اور لیب کے ریٹائر ہونے پر resolver پالیسی ہٹا دیں، ایسے لیپ ٹاپ کو چھوڑنے کی بجائے جو ایسے پتے کی طرف اشارہ کرے جہاں وہ صرف ایسی سرنگ سے پہنچ سکتا ہے جو اب موجود نہیں۔