Nima uchun routerning o'z DNS'i VPN tunnelini chetlab o'tadi?

Mijoz so'rovlari tunneldan o'tadi, routerning o'z so'rovlari esa WAN orqali chiqadi va bittasini boshqaradigan xavfsizlik devori qoidasi ikkinchisiga hech qanday ta'sir qilmaydi. Sabab xato emas: yo'naltirilgan so'rov va router o'zi yaratgan so'rov ikki alohida oqim bo'lib, har biri konfiguratsiyaning boshqa qismi bilan solishtiriladi. Faqat mijozning yarmini yozib olish ikkinchi yarmi hech qachon ishlatmaydigan yo'l haqida ishonchli javob beradi. Tuzatish — routerning hal qiluvchisini ataylab yo'naltirish, so'ngra ikki yo'lni alohida sinash.

Paket yozuvi aslida qaysi oqimga tegishli

Bitta so'rov ikki almashinuvni o'z ichiga oladi. LAN mijozi routerning hal qiluvchisiga so'rov yuboradi va u LAN interfeysida yo'naltirilgan trafik sifatida keladi, shuning uchun yo'naltirilgan paketlar uchun yozilgan siyosat marshruti yoki NAT qoidasi unga mos kelishi mumkin. So'ngra router keshdan javob beradi yoki yozuv bo'lmasa, yuqoridagi serverga o'z so'rovini ochadi.

Bu ikkinchi so'rovning manbasi routerning o'zi va manzili ham o'zi, platforma esa uning yo'lini boshqa konfiguratsiya blokidan tanlaydi. Ikkala almashinuv ham bir xil nomni olib yuradi va hech biri ikkinchisining nusxasi emas. Shuning uchun LAN tomonida olingan yozuv mijoz paketining qayerga ketganini isbotlaydi va chiqayotgan paket haqida hech narsa demaydi.

Amaliy tekshiruv ikki tomonni bir vaqtda kuzatishdir. Routerda hal qiluvchining soketini sanab chiqing, uni mahalliy so'rang va WAN interfeysini yozib oling:

sockstat -4 -l | grep :53
dig +short @127.0.0.1 example.com
tcpdump -ni igb0 udp port 53

Agar soketlar ro'yxati loopback yoki LAN manziliga bog'langan tinglovchini ko'rsatsa, router boshqa xostga yo'naltirish o'rniga mahalliy javob beradi. Shunda yozuv hosil bo'lgan yuqoriga qarab so'rov tunnel interfeysidan yoki WAN orqali chiqishini ko'rsatadi va bu siyosat marshruti qoidasi hech qachon bermaydigan javob.

Nima uchun siyosat marshruti ikkinchi so'rovni hech qachon ko'rmaydi

Xavfsizlik devori qoidalari interfeys, manba, manzil va port bo'yicha yoziladi va qurilmadan o'tadigan paketlar uchun baholanadi. Router yaratgan so'rov hech narsadan o'tmaydi, chunki mahalliy jarayon uni to'g'ridan-to'g'ri marshrutlash jadvaliga topshiradi. Siyosat marshrutlash va NAT shuning uchun faqat yo'naltirilgan yo'lga tegishli, va shu sababli qoidalar to'plami to'liq ko'rinib, baribir routerning DNS'ini tunneldan tashqarida qoldirishi mumkin.

Bu farq har bir proshivka qayta yozilishidan keyin ham saqlanadi, chunki u funksiyadan emas, paket yo'lidan kelib chiqadi. Qurilma o'zi uchun yaratadigan hamma narsa — hal qiluvchi so'rovlari, vaqt sinxronizatsiyasi, yangilanish tekshiruvlari yoki paket ko'zgulariga kirish — mahalliy kelib chiqishga ega va o'sha ko'r nuqtaga tushadi. Shuning uchun ham noutbukdan qilingan sinov router haqida hech narsani isbotlamaydi.

pfSense hal qiluvchisi o'zining yuqoriga qarab yo'lini qayerda belgilaydi

pfSense bu bo'linishni ko'rinadigan qiladi. Mijoz trafigi siyosat marshruti orqali VPN shlyuzidan o'tishi mumkin, xavfsizlik devorining o'z trafigi esa LAN qoidalari o'rniga hal qiluvchining chiqish sozlamasiga amal qiladi. Veb interfeysda bu sozlama Services > DNS Resolver > Outgoing Network Interfaces ostida joylashgan va uning qiymati hal qiluvchi yuqoriga qarab so'rovlar uchun ishlatishi mumkin bo'lgan interfeyslar ro'yxatidir.

U yerda tunnel interfeysini, va faqat o'sha interfeysni nomlash routerning o'z so'rovlarini tunnelga ergashtiradigan narsadir. Odatiy holida qoldirilsa, hal qiluvchi marshrutlash jadvalidan chiqishni tanlaydi, ikki WAN yoki VPN bo'lgan xostda bu ko'pincha WAN bo'ladi.

Boshqa proshivkalar xuddi shu qarorni boshqa yorliq ostida ko'rsatadi: manba manziliga bog'langan yuqoridagi serverlar ro'yxati, faqat yo'naltirish rejimi yoki hujjatlashtirilgan marshrut siyosati. Qidiriladigan sozlama har doim mahalliy yaratilgan so'rovlar uchun chiqish yoki manbani tanlaydigan sozlamadir. Hal qiluvchi konfiguratsiyasi bo'yicha ma'lumotnoma pfSense uchun o'sha variantni hujjatlashtiradi va o'zgarishdan oldin o'qishga arziydi.

Sozlamadan oldin nosozlik xatti-harakatini tanlang

Tunnel yiqilganda ikki xatti-harakat oqlanadi: hech narsa oqib ketmasligi uchun yuqoriga qarab so'rovlarni to'xtatish yoki ma'lum yo'lda tasdiqlangan hal qiluvchiga qaytish. Ikkalasi ham siyosat va hech biri odatiy holda olinmaydi. Interfeyslar ro'yxatiga tegishdan oldin tarmoqqa qaysi biri kerakligini hal qiling.

Nosozlikda yopilishni himoya qilish osonroq, lekin u tunnel uzilishini router orqasidagi har bir qurilma uchun nom hal qilish uzilishiga aylantiradi. Qaytish ofisni ishlatsa bo'ladigan holatda saqlaydi, lekin tunnel tashqarisidagi yuqoriga qarab almashinuv narxi evaziga, u tasodifan emas, ataylab maqbul bo'lishi kerak. Tanlovni yozib qo'ying, chunki VPN tashqarisida hal qiluvchi manzilini ko'rgan keyingi odam, eslatma boshqacha demasa, buni oqish deb o'qiydi. Aynan o'sha eslatma hujjatlashtirilgan qaytishni keyingi chorak ko'rib chiqishidagi izohsiz topilmadan ajratadi.

Ikki holat qarorni murakkablashtiradi. Shaxsiy nomlarga tunnel yetib boradigan ichki hal qiluvchi kerak bo'lishi mumkin, va o'zining shifrlangan DNS'iga ega brauzer yoki ilova routerni butunlay chetlab o'tishi mumkin, shuning uchun siz sozlagan hal qiluvchi har doim ma'lum bir ilova ishlatadigan hal qiluvchi bo'lavermaydi.

Ikki yo'lni ham sinang va natijalarni alohida saqlang

Brauzerdagi DNS sinovi tor savolga javob beradi: o'sha sinov sharoitida o'sha brauzer qaysi hal qiluvchilarni ishlatgan. U tarmoqdagi qurilmalarni ro'yxatga olmaydi va router o'zi uchun yaratgan so'rovni ko'ra olmaydi. Uning natijasini audit emas, bitta ma'lumot nuqtasi deb biling.

LAN mijozidan routerdan avval ommaviy nom, so'ngra faqat ichki zonangiz javob berishi kerak bo'lgan shaxsiy nom so'rang. Faqat ikkinchi so'rovdagi nosozlik tunnelga emas, nomlarni yo'naltirishga ishora qiladi:

dig @192.168.1.1 example.com
dig @192.168.1.1 intranet.example.lan

So'ngra tunnelni tushiring va ikki so'rovni takrorlang. Rad etilgan javoblar hal qiluvchi nosozlikda yopilishini bildiradi; muvaffaqiyatli javob zaxira hal qiluvchi va u ishlatgan yo'lga ishora qiladi. Buni yozgan eslatmangiz va o'sha daqiqada WAN interfeysida olingan yozuv bilan solishtiring.

Yozuvda kuzatuvlarni alohida saqlang: mijoz va router almashinuvi, router va yuqoridagi server almashinuvi, va ikkinchisini hal qilgan konfiguratsiya. Keyingi marshrut o'zgarishi o'sha ikkinchi almashinuvni ogohlantirishsiz ishga soladi. VPN oxirgi nuqtasidan boshqa joydan kelgan javob o'z-o'zidan oqish emas; u konfiguratsiya bu yo'lni tasodifan tanlagandagina oqishga aylanadi.