StrongSwan ń fi àdírẹ́sì DNS kan ránṣẹ́ tí Mac kò lè dé

Ohun gbogbo ń ṣiṣẹ́ títí ẹnìkan yóò fi ṣí MacBook kan. Ọ̀nà abẹ́lẹ̀ máa ń dá, àwọn agbàlejò inú máa ń dáhùn nípasẹ̀ àdírẹ́sì, ṣùgbọ́n yíyan orúkọ máa ń kú. Ní iPhone, ọ̀nà kanna náà ń hùwà bẹ́ẹ̀ náà, nígbà tí àwọn oníbàárà Windows àti Linux wà dáadáa. Ànímọ́ DNS tí a fi ń ránṣẹ́ ni ó máa ń jẹ́ ẹlẹ́sẹ̀ ní gbogbo ìgbà: server fi àdírẹ́sì interface gbangba tirẹ̀ fúnni, oníbàárà IKEv2 ti Apple kò sì fi ìbéèrè ránṣẹ́ síbẹ̀ nípasẹ̀ ọ̀nà abẹ́lẹ̀. Gbé olùyẹ́jú náà wọ inú àkójọpọ̀, àmì náà yóò sì pòórá láìfi ọwọ́ kan oníbàárà.

Àmì náà ń tọ́ka sí àdírẹ́sì tí a fi ránṣẹ́

Nígbà tí àwọn pẹpẹ kan ṣoṣo bá kùnà, ọ̀nà abẹ́lẹ̀ àti àwọn ẹ̀rí ìdánimọ̀ fẹ́rẹ̀ẹ́ dájú pé wọ́n wà dáadáa, nítorí pé wọ́n jẹ́ ti gbogbo ènìyàn. Ohun tí ó yàtọ̀ ni bí oníbàárà kọ̀ọ̀kan ṣe ń lo ẹrù ìṣètò tí ó gbà, pẹ̀lú server DNS inú. Oníbàárà tí ó gba àdírẹ́sì ṣùgbọ́n tí ó ń darí ìbéèrè yí ọ̀nà abẹ́lẹ̀ ká yóò parí pẹ̀lú olùyẹ́jú tí ó rí ṣùgbọ́n tí kò lè lò.

Àdírẹ́sì gbangba ni yíyàn tí ó wọ́pọ̀ nítorí pé ìyẹn ni olùdarí ti mọ̀ tẹ́lẹ̀. Ìyẹn pẹ̀lú ni àdírẹ́sì kan ṣoṣo tí a dáhùn pé yóò wà níta ìpilẹ̀ ọ̀nà abẹ́lẹ̀ fúnra rẹ̀, àti pé ìyẹn gan-an ni ànímọ́ tí ń ba àwọn oníbàárà Apple jẹ́.

Wo iye náà kí o tó yí ohunkóhun padà. Bí olùyẹ́jú tí a fi ránṣẹ́ bá jẹ́ àdírẹ́sì WAN ti server, o ti rí ìrísí ìṣòro náà o sì lè fò àwọn àròsọ tó kù. Fi wé ìpilẹ̀ àkójọpọ̀ náà pẹ̀lú, nítorí àdírẹ́sì tí ó wà nínú àkójọpọ̀ ṣùgbọ́n tí ó wà níta ìyípadà ìyáni ni ó ṣe kedere bí àtúnṣe náà yóò ṣe rí. Ìṣẹ́jú méjì pẹ̀lú ìṣètò náà sàn ju ọ̀sán kan tí a fi ń mú àpòlẹ̀ nínú oníbàárà.

Ya olùyẹ́jú náà kúrò nínú ìyípadà ìyáni

Fún ọ̀nà abẹ́lẹ̀ ní ètò àdírẹ́sì kan tí olùyẹ́jú yóò jẹ́ ọmọ ẹgbẹ́ ti subnet àkójọpọ̀ fúnra rẹ̀, lẹ́yìn náà fi àdírẹ́sì yẹn pamọ́ kí oníbàárà kankan má ṣe gbà á. Nínú àpẹẹrẹ yìí àkójọpọ̀ ni 10.180.7.0/24, server di 10.180.7.1 mú, ìyáni sì bẹ̀rẹ̀ ní 10.180.7.2.

rightsourceip=10.180.7.2/24
rightdns=10.180.7.1

Ìpilẹ̀ àkójọpọ̀ àti olùyẹ́jú pín subnet kan, nítorí náà ọ̀nà tí ó ti ń gbé ìṣàn ọ̀nà abẹ́lẹ̀ yóò tún gbé àwọn ìbéèrè náà. Ànímọ́ kan ṣoṣo yẹn ni ó mú kí àtúnṣe náà lè kó lọ láàárín àwọn oníbàárà. Nínú ìṣètò swanctl, àwọn òtítọ́ méjì kan náà yóò farahàn gẹ́gẹ́ bí ìtumọ̀ àkójọpọ̀ àti ètò DNS lórí ìsopọ̀, kì í ṣe nínú ìkọ̀wé ipsec.conf.

Server kò nílò interface tuntun kan fún èyí. Fífi 10.180.7.1 kún interface loopback ti tó kí olùyẹ́jú lè dè é kí ó sì dáhùn, nítorí àwọn oníbàárà ń dé ọ̀dọ̀ rẹ̀ nípasẹ̀ ọ̀nà àkójọpọ̀ tí ó ti wà tẹ́lẹ̀. Pa àdírẹ́sì náà mọ́ níta ìyípadà ìyáni kí oníbàárà kankan má baà gbà á láìrò. Bí iṣẹ́ DHCP tàbí RADIUS ti ìta bá ń ṣàkóso àkójọpọ̀ náà, fi àdírẹ́sì pamọ́ níbẹ̀ pẹ̀lú, bí bẹ́ẹ̀ kọ́ oníbàárà àkọ́kọ́ tí ó béèrè yóò gbà á.

Dè olùyẹ́jú náà kí o sì pa kọ́ọ̀dù 53

Fífúnni ní àdírẹ́sì kì í ṣe bíi gbígbọ́ orí rẹ̀. Olùyẹ́jú tí ń gbọ́ orí àdírẹ́sì LAN nìkan yóò kọ̀ tàbí fojú fẹ́rẹ̀ àwọn ìbéèrè tí a rán sí àdírẹ́sì àkójọpọ̀, oníbàárà yóò sì rí àkókò tí ó parí tí ó dàbí ìkùnà ọ̀nà.

interface: 10.180.7.1
access-control: 10.180.7.0/24 allow
access-control: 0.0.0.0/0 refuse

Ẹ̀ka unbound yẹn gba àwọn ìbéèrè láti inú àkójọpọ̀ ọ̀nà abẹ́lẹ̀, ó sì kọ̀ gbogbo ohun mìíràn, èyí ni ìlànà tí ọ̀pọ̀lọpọ̀ olùyẹ́jú ilé-iṣẹ́ fẹ́. Bí ẹ̀yà kan náà bá tún dáhùn fún àwọn oníbàárà LAN, fi ìpilẹ̀ LAN kún un ní kedere dípò kí o gbòòrò gbígbọ́ náà sí gbogbo orísun.

Lẹ́yìn náà àwọn òfin firewall gbọdọ̀ bá ìṣàkóso ìwọlé olùyẹ́jú fúnra rẹ̀ mu. Gba kọ́ọ̀dù 53 láti inú àkójọpọ̀, kí o sì sọ ọ́ nù ní gbogbo ibòmíràn, ṣùgbọ́n kọ́kọ́ wo ìtòlẹ́sẹẹsẹ ẹ̀wọ̀n náà.

iptables -A INPUT -p udp --dport 53 -s 10.180.7.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -s 10.180.7.0/24 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j DROP
iptables -A INPUT -p tcp --dport 53 -j DROP

Òfin gbígba tí ó gbòòrò tí ó sì wà ṣáájú yóò sọ àwọn ìlà méjì tí ó kẹ́yìn di ohun ọ̀ṣọ́, olùyẹ́jú yóò sì ṣì dé owó láti internet. Ka àpapọ̀ òfin tí ń ṣiṣẹ́ pẹ̀lú àwọn olùka dípò kí o gbẹ́kẹ̀lé ìtòlẹ́sẹẹsẹ tí o pinnu. Ìlànà mìíràn, ìyẹn fífi àdírẹ́sì gbangba ránṣẹ́ àti gbígba ìbéèrè láti orísun yówù, ń ṣiṣẹ́ fún ọ̀pọ̀lọpọ̀ oníbàárà, ṣùgbọ́n ó fi olùyẹ́jú náà sórí internet ó sì nílò ìdínwọ̀ ìyá àti àbójútó tirẹ̀.

Ṣàyẹ̀wò ohun tí oníbàárà gbà gan-an

Wo ojú server kọ́kọ́, lẹ́yìn náà ti oníbàárà, nítorí pé àwọn méjèèjì kò bá ara wọn mu ní ọ̀nà tí ó lè kọ́ni. Àkójọ àkójọpọ̀ fi hàn àdírẹ́sì tí a yá, àkójọ ẹgbẹ́ ààbò sì fi hàn bóyá ìsopọ̀ náà dúró pẹ̀lú ìdánimọ̀ tí a retí.

swanctl --list-sas
swanctl --list-pools
dig +short @10.180.7.1 intranet.plant.example

Ìbéèrè tààrà náà fi hàn pé olùyẹ́jú ń dáhùn lórí àdírẹ́sì àkójọpọ̀ láti ọ̀dọ̀ agbàlejò tí ó lè dé ọ̀dọ̀ rẹ̀. Kò fi hàn pé Mac yan server yẹn. Ní macOS, scutil --dns ń ṣe àkójọ àwọn olùyẹ́jú nípasẹ̀ iṣẹ́ tí ó ní ààlà, ó sì ní ìsọfúnni ju pánẹ́ẹ̀lì àkópọ̀ lọ; ní Windows, Get-DnsClientServerAddress fi hàn bóyá adapter ọ̀nà abẹ́lẹ̀ gba iye tí a fi ránṣẹ́.

Bí oníbàárà bá fi àdírẹ́sì àkójọpọ̀ hàn tí àwọn ìbéèrè sì ṣì ń parí àkókò, ọ̀nà abẹ́lẹ̀ tàbí ẹ̀wọ̀n firewall ni ó jẹ́ ẹlẹ́sẹ̀. Oníbàárà tí kò jábọ̀ olùyẹ́jú kankan túmọ̀ sí pé ẹrù ìṣètò kò dé rí, nítorí náà wo bí pẹpẹ yẹn ṣe ń lo àwọn ètò tí a fi ránṣẹ́, kì í ṣe nẹ́tíwọ́kì. Kọ ohun tí o ṣàkíyèsí nínú àwọn méjì yẹn kí o tó yí ohunkóhun mìíràn padà. Àwọn ìkùnà méjì yẹn dà bí i ti ara wọn nínú tikẹ́ẹ̀tì ìtìlẹ́yìn, wọ́n sì ń darí àwọn àtúnṣe tí ó yàtọ̀.