Ṣàtúnṣe DNS àlejò libvirt tí firewall VPN tó dá lórí àmì dínà

Àwọn àlejò lórí nẹ́tíwọ́kì libvirt àkọ́kọ́ ń yanjú orúkọ dáadáa títí tí interfásì WireGuard yóò fi jáde, lẹ́yìn náà gbogbo ìwádìí yóò dúró ní ibi kan náà. dnsmasq ṣì ń gbọ́rọ̀ lórí 192.168.122.1:53, àlejò náà ṣì ní àdírẹ́sì yẹn gẹ́gẹ́ bí olùyanjú, ìbéèrè náà sì ṣì ń dé. Ohun tó yí padà ni pé ìbéèrè àtẹ̀gùn ti ẹ̀rọ náà fúnra rẹ̀, tàbí ìdáhùn sí i, ni ìlànà kan tí a ṣàyẹ̀wò ṣáájú ẹ̀wọ̀n àsẹ́ èyíkéyìí tí ìwọ yóò rò pé kí o ṣàtúnṣe ń ju nù báyìí. Ọ̀nà àbájáde ni àmì tí a fi sílẹ̀ ní àkókò tó pẹ́, lórí ìsopọ̀ tí ìdáhùn máa ń jogún.

Àwọn àlejò pàdánù DNS ní àkókò tí ọ̀nà ṣíṣí yóò gbé sókè

Jẹ́rìí sí ìrísí ṣáájú kí o tó yí ohunkóhun padà. Sọ ọ̀nà ṣíṣí kalẹ̀, ṣe dig @192.168.122.1 example.com láti ọ̀dọ̀ àlejò kan kí o sì wò ó bí ó ṣe ń dáhùn. Gbé ọ̀nà ṣíṣí sókè, tún ṣe é, kí o sì wò ó bí àkókò ṣe ń parí. Àpapọ̀ àbájáde méjèèjì yẹn yọ nẹ́tíwọ́kì libvirt tó bàjẹ́, àdírẹ́sì olùyanjú tó lòdì, àti dnsmasq tó ti kú kúrò ní ìgbésẹ̀ kan.

Lẹ́yìn náà wo ẹ̀gbẹ́ ẹ̀rọ. Bí dnsmasq bá ń kọ ìbéèrè náà àti ìfiránṣẹ́ àtẹ̀gùn rẹ̀ sílẹ̀, páákììtì náà ti dé, ìkùnà sì wà ní ẹ̀gbẹ́ ìjáde. Bí dnsmasq kò bá kọ ohunkóhun rárá, ìbéèrè àlejò náà ni a ń ju nù ní ẹ̀gbẹ́ ìwọlé, ìyàtọ̀ sì yẹ kí ó wà lórí háàkì mìíràn yàtọ̀ sí èyí tí àpilẹ̀kọ yìí ń fi àmì sí.

Kí ni ìdí tí ìlànà accept nínú ẹ̀wọ̀n tó tẹ̀le kò fi ń ṣiṣẹ́ rárá

Firewall VPN tó dá lórí àmì ń pinnu nípa wíwo àmì páákììtì tàbí àmì ìsopọ̀, kì í ṣe àdírẹ́sì orísun rẹ. Ohunkóhun tó bá dé interfásì ti ara láìsí àmì tí a retí ni a kọ̀, ìkọ̀ yẹn sì ń ṣẹlẹ̀ nínú àkójọ ìlànà tó ní ìdánwò àmì náà. ip saddr 192.168.122.0/24 accept ìlà tí a fi kún ẹ̀wọ̀n èyíkéyìí tó tẹ̀le kò ní í ṣe àyẹ̀wò fún páákììtì yẹn rárá, ìdí nìyẹn tí ìlànà tó hàn gbangba fi dàbí ẹni pé ó tọ́ ṣùgbọ́n kò yí ohunkóhun padà.

Fífẹ̀ é títí tí nnkan yóò fi ṣiṣẹ́ ni pàkúté kejì. Gbígba gbogbo subnet libvirt nínú ọ̀nà ìwọlé ẹ̀rọ ń ṣí gbogbo iṣẹ́ ẹ̀rọ fún àwọn àlejò, nígbà tí ohun tí a nílò gan-an ni ibudo kan.

Ìṣètò tó mú kí ìyàtọ̀ tóóró ṣeé ṣe ni títẹ̀lé ìsopọ̀. Nígbà tí o bá fi ct mark sórí páákììtì kan, a máa ń tọ́jú iye náà sórí àkọsílẹ̀ conntrack kì í ṣe lórí páákììtì nìkan, nítorí náà gbogbo páákììtì nínú ìsopọ̀ yẹn yóò gbé e lẹ́yìn náà, pẹ̀lú ìdáhùn láti ẹ̀rọ padà sí àlejò. Ìyẹn ni gbogbo ọ̀nà àrékérekè: fi àmì sí ìbéèrè náà lẹ́ẹ̀kan, ọ̀nà ìpadà yóò sì ti ní àmì tẹ́lẹ̀.

Fi àmì sí ìbéèrè náà kí table VPN tó rí i

Fi ìyàtọ̀ náà sínú table tirẹ̀ fúnra rẹ̀ kí olùkàwé tó tẹ̀le lè rí i láìṣe àtúpalẹ̀ àwọn ìlànà VPN:

table inet allowedLocal {
  chain guest_dns {
    type filter hook input priority mangle; policy accept;
    ip saddr 192.168.122.0/24 meta l4proto { tcp, udp } \
      th dport 53 ct mark set 0x00000f41
  }
}

priority mangle jẹ́ òdì, èyí tó gbé ẹ̀wọ̀n yìí síwájú àwọn ẹ̀wọ̀n àsẹ́ déédéé tí àpò VPN ń gbé kalẹ̀ ní ipò ọ̀do. Ìtẹ̀lé háàkì ni ó mú ìlànà náà wúlò; ìlànà kan náà nínú ẹ̀wọ̀n tó wà lẹ́yìn ẹ̀wọ̀n VPN kì í ṣe ohun tó ju ọ̀ṣọ́ lọ.

Nọ́mbà àmì fúnra rẹ̀ kò ṣeé gbé kiri. Gbé iye tí àwọn ìlànà VPN tí a gbé kalẹ̀ ń gbà fún ìrìnàjò tiwọn, kà á láti inú àkójọ ìlànà tó ń ṣiṣẹ́, kí o sì lo ìyẹn. Àmì tí kò tọ́ yóò dá ìlànà tó ń gbé wọlé dáadáa, tó bá gbogbo ìbéèrè mu, tí kò sì jẹ́ kí ohunkóhun wọlé.

Jẹ́ kí ihò náà gbòòrò bí ibudo 53

Bí a ti kọ ọ́, èyí ń gbà DNS láti subnet libvirt sí ẹ̀rọ nípasẹ̀ TCP tàbí UDP ibudo 53 àti kò sí ohunkóhun mìíràn. Kò jẹ́ kí àwọn àlejò dé internet lẹ́yìn ọ̀nà ṣíṣí, kò sì jẹ́ kí ẹ̀rọ ṣí ìsopọ̀ síhà àwọn àlejò. Bí àlejò kan bá nílò iṣẹ́ ẹ̀rọ mìíràn lẹ́yìn náà, fi ìlànà ọ̀tọ̀ tó dárúkọ ibudo ìdí yẹn kún un dípò kí o tú ìlànà yìí sílẹ̀.

Jẹ́ olóòtítọ́ nípa ohun tí o ń pààrọ̀. Àlejò tó lè dé olùyanjú lè tún fi àwọn ìbéèrè DNS gbé dátà àìlópin kọjá, ìyàtọ̀ yìí sì jẹ́ ihò tí a mọ̀ọ́mọ̀ ṣí nínú ààlà VPN kì í ṣe gbólóhùn pé nẹ́tíwọ́kì àdúgbò gbẹ́kẹ̀lé. Dídìí orísun mọ́ 192.168.122.0/24 ń mú ihò yẹn jìnnà sí gbogbo subnet àdúgbò mìíràn, kíkà àwọn ìbéèrè lórí orísun yẹn sì rọ́rọ́ bí ìhalẹ̀ náà bá ṣe pàtàkì fún ọ.

Jẹ́ kí ó wà lẹ́yìn àtúnsí, kí o sì fi ẹ̀rí ìlà méjìẹ̀gbẹ́ méjèèjì hàn

Ìlànà tí a tẹ̀ sórí shell yóò pàdánù ní àtúnsí tó tẹ̀le, ìlànà tí a gbé wọlé lẹ́yìn tí interfásì VPN ti ń gbé ìrìnàjò kọjá yóò sì pàdánù ìdíje ní ìsopọ̀ àkọ́kọ́. Fi table náà sínú ìṣètò nftables àìlópin ti ẹ̀rọ, tàbí sínú unit tí a ṣètò ṣáájú iṣẹ́ VPN, kí o sì yẹ̀wò ìtẹ̀lé dípò kí o ro pé ó rí bẹ́ẹ̀.

Ìjẹ́rìí nílò ìdáhùn mẹ́ta ọ̀tọ̀ọ̀tọ̀. Jẹ́rìí pé a ti gbé ẹ̀wọ̀n náà wọlé tí a sì ṣètò rẹ̀ ní àkọ́kọ́, jẹ́rìí pé àkọsílẹ̀ conntrack ń fi àmì hàn ní ẹ̀gbẹ́ méjèèjì, kí o sì jẹ́rìí pé ìwádìí àlejò ń dá àdírẹ́sì padà. Lẹ́yìn náà jẹ́rìí ìlà kejì: ìrìnàjò wẹ́ẹ̀bù déédéé ti àlejò sí ẹ̀rọ gbangba ṣì ń kùnà nígbà tí ọ̀nà ṣíṣí wà nísàlẹ̀ tàbí tí ó ń dí. Bí DNS bá ń ṣiṣẹ́ tí gbogbo nnkan mìíràn sì ń jó kúrò, ìlànà rẹ gbòòrò ju èyí tó wà lókè lọ.

Bí àwọn ìwádìí ṣì ń kùnà lẹ́yìn tí a ti fi àmì náà sí, dènà ìfẹ́ láti fẹ̀ orísun náà. Yẹ̀wò ibi tí dnsmasq ń fi ránṣẹ́ sí, bóyá olùyanjú àlejò ń tọ́ka sí 192.168.122.1 tàbí sí àdírẹ́sì gbangba tí ẹnìkan tẹ̀, àti bóyá ìbéèrè náà dé ẹ̀rọ rárá. Fífi àmì ń gba páákììtì wọlé àti kò sí ohunkóhun mìírán, nítorí náà orísun àtẹ̀gùn tó burú tàbí nẹ́tíwọ́kì àròjinlẹ̀ tó bàjẹ́ yóò dúró ní bíbirú láìka bí o ti fi ìlànà mélòó kún un.