Uy VPN-ingizga nas.home.arpa uchun o‘z DNS yozuvlarini bering
dnsmasq dan bitta nom chiqaring, resolverni WireGuard orqali yo‘naltiring, so‘ng butun klientga DNS yuborish va faqat home.arpa uchun split-DNS o‘rtasida tanlang.
Tunnel ko‘tarilgandan so‘ng, oxirgi qadam odatda xatcho‘pga qo‘yadigan manzil o‘rniga ishlaydigan nom bo‘ladi. dnsmasq xost yozuvi va klient yeta oladigan resolver manzili buni ikkita fayl bilan va multicast-siz bajaradi. Haqiqatan o‘ylashni talab qiladigan qaror torroq: klient barcha DNS ni uy resolversi orqali yuboradimi yoki faqat home.arpa ostidagi nomlarnimi? Quyidagi hamma narsa Linux klienti va uy administratori allaqachon boshqarayotgan laboratoriya resolversi bilan tasdiqlangan WireGuard sozlamasini nazarda tutadi.
Klientga resolver berishning uch yo‘li
| Approach | Scope | Cost |
|---|---|---|
DNS = in the wg-quick interface | the client's general DNS while the tunnel is up | every name in the house now depends on the tunnel |
Platform split-DNS for home.arpa | only that suffix | more configuration per client platform |
Manual dig @resolver | one query at a time | fine for testing, useless for applications |
Tunnelga vaqti-vaqti bilan qo‘shiladigan noutbuk uchun split-DNS yaxshiroq standart: oddiy internet nomlarini mashina allaqachon ishonadigan resolverda saqlaydi. Uy xizmatlariga yetish uchun mavjud mashina uchun resolverni itarib yuborish oddiyroq va qamrov narxi muhim emas.
Yozuvni zonaga egalik qiluvchi resolverda chiqaring
Konfiguratsiya yozishdan oldin rollarni ajratib turing: VPN klient manzili, resolver va xizmat uch xil ishli uch xil xost. Bu laboratoriyada ular klient uchun 10.77.0.2, dnsmasq uchun 192.168.50.53 va NAS uchun 192.168.50.20, tunnel esa uy LAN ini yo‘naltiradi.
listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20host-record satri manzilni beradi, local= satri esa noma’lum home.arpa savollarini yuqoriga yuborish o‘rniga shu resolver ichida ushlab turadi. Avval mavjud konfiguratsiyangizni o‘qing va allaqachon server, interfeys yoki o‘sha lokal domenni belgilaydigan hamma narsani moslashtiring; ziddiyatli ustiga parcha qo‘yish quvnoq yuklanadigan va noto‘g‘ri javob beradigan resolver yaratadi. dnsmasq qo‘llanmasi ikkala direktivani va tinglash boshqaruvini belgilaydi.
So‘ng faylni emas, ishlab turgan xizmatni tekshiring. Konfiguratsiya testi va qayta ishga tushirish minimum, haqiqiy javob esa so‘rov qaytaradigan narsa.
Resolverni yo‘naltiring, faqat veb-sahifani emas
WireGuard ning AllowedIPs qaysi manzillar tunnelga kirishini hal qiladi. Agar resolver manzili uning tashqarisida qolsa, so‘rov odatdagi marshrut bilan chiqadi va dnsmasq ga hech qachon yetmaydi, NAS ning o‘zi yetib borish mumkin bo‘lsa ham. Resolver manzilini yoki uni o‘z ichiga olgan LAN prefiksini kiriting va narigi tomondagi shlyuzning yo‘naltirish siyosatini tekshiring.
Ruxsat etilgan tunnel diapazonidan 53 portda UDP va TCP ga ruxsat bering, klientning tunnel manziliga qaytish yo‘li bilan. Sinovni osonlashtirish uchun 53 portni WAN dan yo‘naltirmang: uy ulanishida ochiq rekursiv resolver soatlar ichida topiladi. Interfeysga bog‘lanish o‘z-o‘zidan kirish siyosati emas.
Javobni ilovadan oldin tekshiring
Avval resolverdan to‘g‘ridan-to‘g‘ri so‘rang, keyin tizimdan, keyin ilovadan. Har bir qadam zanjirdagi bitta bo‘g‘inni ajratadi va ular orasidagi farq tashxis hisoblanadi.
dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'TCP so‘rovini ishga tushirishga arziydi, chunki kesilgan UDP javobi qayta urinishga majbur qiladi va TCP 53 ni tashlab yuboradigan siyosat oraliq ko‘rinadigan nosozliklar keltiradi. getent qadami mashinaning resolver konfiguratsiyasi aslida nima qilishini ko‘rsatadi, bu esa har doim siz yuborgan narsa emas.
Tunnel pastda bo‘lganda nima bo‘lishini hal qiling
Agar klientning umumiy DNS i 192.168.50.53 ga ishora qilsa, tunnel ko‘tarilmaganda barcha nom yechimi to‘xtaydi. Bu faqat tunnel bilan foydali mashinada maqbul, kafe Wi-Fi sidan ham foydalanadigan noutbukda esa qabul qilinmaydi. Split-DNS bu savolni butunlay chetlab o‘tadi, chunki faqat home.arpa qidiruvlari uy resolveriga bog‘liq.
Nom nima ekanini eslab qoling: home.arpa turar-joy tarmoqlari uchun ajratilgan va global miqyosda yagona emas, shuning uchun boshqa tarmoq o‘sha nomni qonuniy ishlatishi mumkin. Bu mahalliy qulaylik, ishonchli identifikator emas. Xizmat ko‘chganda yozuvni dolzarb tuting va laboratoriya iste’moldan chiqarilganda resolver siyosatini olib tashlang, endi mavjud bo‘lmagan tunnel orqali yetish mumkin bo‘lgan manzilga ishora qiluvchi noutbukni qoldirish o‘rniga.