OpenVPN mijozlarini boshqa xostdagi Pi-hole rezolveriga yo'naltirish

OpenVPN profiliga Pi-hole manzilini qo'yish unga yo'l yaratmaydi, undan so'rashga ruxsat bermaydi va mijoz undan foydalanishiga kafolat bermaydi. Pi-hole alohida LAN mashinasida bo'lganda to'rt narsa mos kelishi kerak: mijozdan keladigan yo'l, shlyuzdan yo'naltirish, hovuzga qaytish yo'li va Pi-hole o'zidagi qabul siyosati. Har bir nosozlik jurnalda boshqacha ko'rinadi. Ularni shu tartibda ko'rib chiqish oxirgisini birinchi tuzatishdan tezroq. Odatiy qisqa yo'l, har bir manba uchun rekursiyani ochish, kichik muammoni doimiy muammoga almashtiradi.

Ittarilgan DNS varianti nima qiladi va nima qilmaydi

Server quyidagi direktiva bilan rezolverni e'lon qiladi, 192.168.50.53 Pi-hole xosti deb hisoblab. Mijoz variantni oladi va, platformasi va rezolver integratsiyasiga qarab , uni tunnel interfeysiga qo'llaydi yoki mahalliy stub foydasiga e'tiborsiz qoldiradi. Marshrut satri DNS satri kabi muhim, chunki mijoz yetib bora olmaydigan rezolver umuman rezolver emas. Bularning hech biri server tomonidan ko'rinmaydi.

server 10.90.0.0 255.255.255.0
push "dhcp-option DNS 192.168.50.53"
push "route 192.168.50.0 255.255.255.0"

Variantni olish uni ishlatish bilan bir xil emas. Rezolver menejeriga ega Linux mijozi ittarilgan serverni qabul qilib, unga faqat ayrim domenlarni yuborishi mumkin; DNSni o'zi boshqaradigan mijoz sozlamani butunlay qayta yozishi mumkin. Ittarilgan marshrutlar ba'zi platformalarda cheklangan ham, bu variant qabul qilingan bo'lsa ham rezolverni yetib bo'lmaydigan qilib qo'yadi. Qaysi server javob berishini mijozda tekshiring, serverda nima yuborilganini emas.

Variant server tomoni haqida ham hech narsa demaydi. DNS trafigi har qanday variant ahamiyatga ega bo'lishidan oldin hali ham mijozdan shlyuzga va shlyuzdan Pi-holega borishi kerak. Yo'qolgan marshrut va rad etilgan so'rov mijoz tomonidan bir xil ko'rinadi, shuning uchun avval shlyuzdagi yo'naltirishni tasdiqlang.

Pi-holedan hovuzga qaytish yo'li

Agar mijozning manba manzili saqlansa, Pi-hole VPN hovuzi ichidagi manzilga javob beradi. Uning o'z marshrutlash jadvali bu hovuz haqida hech narsa bilmasligi mumkin, shuning uchun javob standart shlyuziga ketadi va yo'qoladi. So'rovlar jurnali mos javobsiz so'rovni ko'rsatadi, buni xavfsizlik devori muammosi deb noto'g'ri tushunish oson.

LAN routeriga hovuz uchun statik marshrut bering, OpenVPN shlyuzi keyingi sakrash bo'lsin, yoki Pi-holega yo'naltirishdan oldin shlyuzda manbani tarjima qiling. Birinchisi har bir mijozning manzillarini Pi-hole so'rovlar jurnalida ko'rinib turishini ta'minlaydi. Ikkinchisi qaytish marshruti talabini olib tashlaydi, lekin har bir so'rovni shlyuzdan kelgandek ko'rsatadi. Ikkalasi ham noto'g'ri emas; ular turli savollarga javob beradi.

Har bir mijoz bo'yicha hisobot yoki siyosat muhim bo'lsa, statik marshrut yaxshiroq almashinuv. Agar LANni boshqa birov boshqarsa va marshrut mavjud bo'lmasa, tarjima amaliy variant bo'lib, mijoz shaxsini yo'qotish qayd etiladi. Qaysi birini tanlaganingizni yozib qo'ying, chunki keyingi har bir jurnal savoli shunga bog'liq.

Yo'naltirilgan mijozlar uchun Pi-hole tinglash rejimi

DNS ostidagi sozlamalar sahifasidagi interfeyslarning tinglash xatti-harakati ochiladigan ro'yxati Pi-hole qaysi manbalarga javob berishini belgilaydi. Eng qat'iy variant faqat to'g'ridan-to'g'ri ulangan tarmoqlardagi mijozlarni qabul qiladi; qurilmalarga ko'pi bilan bir sakrash masofasiga ruxsat beruvchi variant buni qo'shni router orqasidagi quyi tarmoqlarga kengaytiradi va yo'naltirilgan VPN mijozi aynan shunday ko'rinadi. Paket haqiqatan LAN interfeysiga yetib keladi, lekin uning manba manzili boshqa quyi tarmoqqa tegishli. Bu siyosat rad etishi, marshrutlash nosozligi emas, va jurnallarni o'qiyotganda bu farq muhim.

Pi-holening tinglash qo'llanmasi mahalliy ulangan manbalarni yo'naltirilgan kelib chiqishdan ajratadi va kelish interfeysi mezon emas. Butun internetga ruxsat bermasdan VPN hovuziga ruxsat beruvchi rejim tanlang, so'ng uni faqat hovuzdan DNS qabul qiladigan xavfsizlik devori qoidasi bilan juftlang.

Birinchi so'rov ishlashi uchun barcha kelib chiqishlarga rekursiyani ochish noto'g'ri tuzatish. Bu shaxsiy rezolverni ochiq rezolverga aylantiradi, tuzatish esa global emas, cheklangan ruxsat.

Javobni so'rovlar jurnali bilan moslashtiring

Mijozdan so'rang, so'ng serverni tekshirib, ikkalasini solishtiring. systemd-resolved mijozida quyidagi buyruqlar qaysi rezolver javob yaratganini va har bir ulanish uchun qaysi serverlar sozlanganini bildiradi. Faqat Pi-hole biladigan nomdan foydalaning, chunki Pi-hole manziliga to'g'ridan-to'g'ri so'rov yetib borishni isbotlaydi, sozlamani emas.

resolvectl query intranet.example.lan
resolvectl dns

Kutilayotgan javob 192.168.50.53ni server deb nomlaydi va faqat o'sha rezolver biladigan manzilni qaytaradi. So'ng Pi-holening o'z ko'rinishiga qarang: pihole -t so'rovlar jurnalini jonli kuzatadi va har bir satr manba manzilini olib yuradi. Manba mijozning tunnel manzili bo'lsa, hovuz marshruti buzilmagan. Agar bu shlyuzning LAN manzili bo'lsa, manba tarjimasi ishlamoqda va mijozning o'z manzili hech qachon ko'rinmaydi.

Jurnalda umuman hech narsa ko'rinmasa, so'rov Pi-holega hech qachon yetib bormagan va keyingi tekshiriladigan narsa shlyuzdagi yo'naltirish. So'rov ko'rinib, javob qaytmasa, muammo qaytish yo'lida, ya'ni oldingi bo'limda. Nosozlikni shunday bo'lish marshrutlash xatosini xavfsizlik devori qoidasi deb qabul qilishdan saqlaydi.

Shlyuzning yo'naltirish qoidasini tekshiring

Shlyuz mijozning DNS paketlarini Pi-hole tomon yo'naltirishi kerak, va buni qiladigan qoidani taxmin qilishdan ko'ra o'qigan ma'qul. Quyidagi buyruqlar 53 portiga tegadigan qoidalarni hisoblagichlar bilan sanab chiqadi, nftables xostida va iptables xostida. Mavjud bo'lib, nol moslik ko'rsatadigan qoida trafik tarjima qilinishidan oldin tashlab yuborilayotganining belgisi.

sudo nft list ruleset | grep -A3 'dport 53'
sudo iptables -t nat -L POSTROUTING -n -v | grep 53

Hisoblagichlarni o'qing, faqat qoidalarni emas. Hech qachon mos kelmaydigan qoida paket boshqa interfeys orqali chiqishini yoki mijoz uni hech qachon yubormaganini bildiradi. Har bir so'rovda mos keladigan qoida yo'naltirish ishlayotganini va muammo yo'lning narigi tomonida ekanini bildiradi.

Xost qaysi vositani ishlatmasin, tekshiruvni tor tuting: hovuz manba sifatida, 53 port manzil sifatida va Pi-hole yagona ruxsat etilgan nishon sifatida. 80 portga ham ruxsat beradigan keng yo'naltirish qoidasi sodir bo'lishini kutayotgan boshqa muammo.