WireGuard kì í fi DNS: ṣíṣe iṣẹ́ àgbègbè BIND àdáni

O gbé WireGuard ró, inú ọ̀nà ń gba ìrìnàjò, síbẹ̀ orúkọ inú kò tíì yẹ̀. Ìgbésẹ̀ tó kàn ni wíwo ètò DNS nínú ìṣètò WireGuard, bí ẹni pé alájọṣe kan lè fi olùyẹ̀sílẹ̀ ránṣẹ́ bí àwọn VPN mìíràn ń ṣe. Kò lè. Ìfọwọ́balẹ̀ ń gbé àwọn kọ́kọ́rọ́, àdírẹ́sì ojú-ìsopọ̀ àti IP tí a yọ̀ǹda, kò sì ní pápá fún àwọn olùpèsè DNS tàbí àwọn ìpínlẹ̀ ìwádìí. Ìlànà olùyẹ̀sílẹ̀ wà lórí alágbàwí, ibẹ̀ sì ni àtúnṣe yẹ.

Inú ọ̀nà àti olùyẹ̀sílẹ̀ jẹ́ àdéhùn ọ̀tọ̀ọ̀tọ̀

WireGuard kéré ní àmọ̀ọ́nà. Ó ń gbé àwọn pákítì fún àwọn àdírẹ́sì tí o tò, ó sì ń fìdí àwọn alájọṣe múlẹ̀; gbogbo ohun tó wà lórí ìpele yẹn jẹ́ àpẹẹrẹ rẹ. OpenVPN lè fi dhcp-option DNS ránṣẹ́ nítorí pé ọ̀nà ìṣàkóso rẹ̀ ń gbé ìṣètò, ìyàtọ̀ yẹn sì ń mú àwọn tí wọ́n ń lọ laarin méjèèjì kọsẹ̀.

Nítorí náà inú ọ̀nà tó ń ṣiṣẹ́ kò sọ ohunkóhun nípa yíyẹ́ orúkọ. Alágbàwí lè ní ọ̀nà àtàtà sí 10.90.0.1 síbẹ̀ ó ń fi àwọn ìbéèrè rẹ̀ ránṣẹ́ sí olùyẹ̀sílẹ̀ gbangba, ìdí nìyẹn tí àmì náà fi dàbí “VPN ba DNS jẹ́” nígbà tí a kò yí DNS sí VPN rí.

Ṣe iṣẹ́ àgbègbè náà láìdi olùyẹ̀sílẹ̀ àtúnṣe

Ẹ̀gbẹ́ olùpèsè jẹ́ àgbègbè aláṣẹ kékeré, kì í ṣe olùyẹ̀sílẹ̀ gbogbogbò. Nínú àpẹẹrẹ yìí ẹnubodè ni 10.90.0.1, àwọn alágbàwí ni 10.90.0.0/24, àti ohun èlò tó ṣe pàtàkì fún ọ ń dáhùn ní 10.60.0.20.

Dá àwọn ètò wọ̀nyí pọ̀ mọ́ bulọ́ọ̀kì options tó wà tẹ́lẹ̀ dípò kí o ṣẹ̀dá èkejì:

options {
    listen-on { 127.0.0.1; 10.90.0.1; };
    listen-on-v6 { none; };
    allow-query { 127.0.0.1; 10.90.0.0/24; };
    allow-transfer { none; };
    recursion no;
};

Lẹ́yìn náà kéde àgbègbè náà àti fáìlì rẹ̀:

zone "corp.example" {
    type primary;
    file "/etc/bind/db.corp.example";
};

$TTL 300
@ IN SOA ns.corp.example. hostmaster.corp.example. ( 1 3600 600 604800 300 )
@      IN NS ns.corp.example.
ns     IN A  10.90.0.1
portal IN A  10.60.0.20

Ṣàyẹ̀wò kí o tó tún gbé e, nítorí àṣìṣe ìtúmọ̀ nígbà gbígbé máa ń sọ gbogbo olùpèsè di aláìṣiṣẹ́ fún gbogbo àgbègbè tí ó ń sìn:

named-checkconf
named-checkzone corp.example /etc/bind/db.corp.example

Ṣí UDP àti TCP 53 lórí ojú-ìsopọ̀ VPN nìkan. Pípọ́ àṣẹ àdáni jáde lórí ojú-ìsopọ̀ gbangba ń pè àwọn ìbéèrè àti ìkànìyàn pẹ̀lú, allow-transfer sì yẹ kí ó wà ní títì àyàfi bí alákọ̀ọ́kẹ̀ kejì bá nílò rẹ̀ gan-an.

Yí alágbàwí sí ibẹ̀, fún ọ̀nà ìsopọ̀ kọ̀ọ̀kan

Gba pé NetworkManager ni ó ni ìsopọ̀ náà àti pé systemd-resolved ni olùyẹ̀sílẹ̀. Kọ́kọ́ ka ìlànà tó wà, pàápàá àgbègbè ìtọ́sọ́nà gbòǹgbò, nítorí àkọsílẹ̀ ~. yóò ju ohun tí o fẹ́ fi kún lọ.

nmcli connection modify wg-office +ipv4.dns 10.90.0.1
nmcli connection modify wg-office +ipv4.dns-search '~corp.example'

Tíldì ni lẹ́tà pàtàkì. Ó ń sàmì sí àgbègbè náà gẹ́gẹ́ bí ọ̀nà-nìkan: àwọn orúkọ lábẹ́ corp.example ń lọ sí olùpèsè DNS ti ìsopọ̀ yìí, a kì í sì fi àgbègbè náà kún gẹ́gẹ́ bí ìparí ìwádìí orúkọ kúkúrú. Láìsí rẹ̀, títẹ portal yóò bẹ̀rẹ̀ sí yẹ̀ portal.corp.example, èyí tó rọrùn fún ọ àti ìyàlẹ́nu fún gbogbo ènìyàn yòókù. Pa tíldì mọ́ nínú àmì àyọkà, nítorí èyí tí kò ní àmì àyọkà jẹ́ ìgbòkègbodò shell tó ń dúró láti tọ́ka sí àpò ìkópamọ́ ilé rẹ.

Lo ìyípadà náà nípasẹ̀ olùṣàkóso tó ni ojú-ìsopọ̀, lẹ́yìn náà tún ìsopọ̀ náà pọ̀. Má ṣe bẹ̀rẹ̀ ẹ̀dá wg-quick kejì fún ojú-ìsopọ̀ kan náà; olùní méjì yóò jà lórí àwọn ọ̀nà, ọ̀kan nínú wọn yóò sì borí ní àkókò tó burú jù.

Ṣàyẹ̀wò ọ̀nà kí o tó orúkọ

Bèèrè orúkọ náà lọ́wọ́ alágbàwí kí o sì fìdí ìdáhùn àti olùpèsè tó ṣe é múlẹ̀:

resolvectl query portal.corp.example

Tí ìyẹn bá dá 10.60.0.20 padà, àdéhùn DNS ti pé. Tí àkókò bá tán, ṣàyẹ̀wò ọ̀nà sí 10.90.0.1 kọ́kọ́, lẹ́yìn náà ìlànà ògiri iná, lẹ́yìn náà allow-query lórí olùpèsè. Àwọn ìkùnà yíyẹ́ orúkọ nínú ètò yìí fẹ́rẹ̀ẹ́ jẹ́ ìwọlé tàbí ACL nígbà gbogbo, kì í ṣe fáìlì àgbègbè. Ṣiṣẹ́ láti alágbàwí jáde, nítorí olùpèsè kò lè sọ fún ọ ìdí tí ìbéèrè kò fi dé rí.

Rántí pé ohun èlò náà ṣì nílò ọ̀nà tirẹ̀ àti àṣẹ iṣẹ́ tirẹ̀. Orúkọ tí a yẹ̀ tó ń tọ́ka sí àdírẹ́sì tí a kò lè dé jẹ́ ìkùnà mìíràn nínú aṣọ kan náà.

Ohun tí kò tíì ṣe aládàáṣiṣẹ́

Àwọn ohun èlò tí wọ́n ní ìrònú olùyẹ̀sílẹ̀ tiwọn ń pa olùyẹ̀sílẹ̀ ẹ̀rọ náà tì pátápátá, kò sì sí iye nmcli tó lè yí ìyẹn padà. Àwọn ìgbékalẹ̀ tí ń ṣàyẹ̀wò DNSSEC nílò àpẹẹrẹ ìdúró ìgbẹ́kẹ̀lé pàtó fún àgbègbè àdáni; ìdáhùn kì í ṣe àṣẹ gbogbogbò láti pa ìṣàyẹ̀wò dà. Dan wò pẹ̀lú sọ́fítíwé alágbàwí kan náà tí àwọn aṣàmúlò rẹ ń lò, kì í ṣe pẹ̀lú irinṣẹ́ tó ń lo olùyẹ̀sílẹ̀ ẹ̀rọ láìrò. Àlàfo laarin méjèèjì ni gbogbo ìròyìn àṣìṣe náà.

Àwọn ẹgbẹ́ ńlá lè ṣe ìlànà alágbàwí yìí ládàáṣiṣẹ́ nípasẹ̀ ètò ìpèsè wọn, ṣùgbọ́n ìlànà náà ṣì jẹ́ ohun ọ̀tọ̀ tó ní olùní. Ìwé ìtọ́kasí BIND 9 ń bo àwọn ìṣàkóso gbígbọ́ àti ìbéèrè tí a lò lókè, ibẹ̀ sì ni ibi tó tọ́ láti fìdí ìhùwàsí múlẹ̀ fún ẹ̀yà tí o ti fi sórí ẹ̀rọ.

Ìgbésẹ̀ tó kàn: fi ìgbéga nọ́mbà tẹ̀léntẹ̀lé àgbègbè àti àwọn àṣẹ ìṣàyẹ̀wò kún ìlànà ìyípadà rẹ, kí àtúnṣe àkọsílẹ̀ má bàa dé ibi ìṣejáde láìṣàyẹ̀wò.