Как настроить DNS при совместном использовании VPN-подключения в Linux?

Question

Вы не уточнили, хотите ли вы, чтобы DNS-серверы были специфичны для вашего компьютера Windows, для всех клиентов OpenVPN или, возможно, даже для вашего RPI, а также хотите ли вы, чтобы DNS-запросы проходили через VPN или нет.

1.Отдельные клиентские (через OpenVPN) и RPI DNS.

Это самый простой случай: настройте клиентские DNS-серверыв клиенте, и RPI DNS в/etc/resolv.conf.

2.Отдельные клиентские (вне OpenVPN) и RPI DNS.

То же, что и выше, за исключением того, что вам придется добавить следующее правило маршрутизации в RPI:

    ip route add 8.8.8.8/32 via Your.Router.IP.Address dev Your.Non.VPN.Interface table vpn

Я предположил, что ваш (Windows) клиент использует DNS Google, 8.8.8.8.

3. Альтернативно, вы можете помечать DNS-пакеты от клиентов и направлять их черезосновнойтаблица маршрутизации:

     iptables -A PREROUTING -t mangle -p tcp --dport 53 -j MARK --set-mark 1
     iptables -A PREROUTING -t mangle -p udp --dport 53 -j MARK --set-mark 1
     ip rule add from all fwmark 1 table main
     iptables -t nat -A POSTROUTING -o br0 -j MASQUERADE

4.Одни и те же DNS-серверы для RPI и клиентов, как через OpenVPN, так и извне.

То же самое, что и в пунктах 1 или 2, только используйте тот же набор DNS.

5.Автоматическая настройка для всех клиентов OpenVPN, разумеется, через OpenVPN.

Вы можете подумать, что настройка DNS индивидуально для каждого VPN-клиента утомительна, особенно если вам нужно настроить DNS в сети сервера, а не так просто, как у Google. Сначала вам придется перенести опцию DNS с сервера на RPI-клиент, добавив следующий параметр в файл конфигурации сервера:

    push "dhcp-option DNS 10.66.0.4"

Эта опция записывается в переменную с именеминостранный_вариант_{n}: первый вариант, продвинутый таким образом, будет иметьп=1, а его значение (в приведенном выше случае) равно:

    foreign_option_1="dhcp-options DNS 10.66.0.4"

Эта переменная автоматически передается ввверхскрипт, где вам придется разбить его на три части, извлекая IP-адрес, скажем,$var3, и теперь вы можете добавить следующие строки в своймаршрут-вверхсценарий:

    iptables -t mangle -A PREROUTING -p tcp --dport 53 -j MARK --set-mark 1
    iptables -t mangle -A PREROUTING -p udp --dport 53 -j MARK --set-mark 1
    ip rule add  fwmark 1 table vpn
    iptables -t nat -A PREROUTING -p tcp --dport 53 -i tun0 -j DNAT --to-destination $var3
    iptables -t nat -A PREROUTING -p udp --dport 53 -i tun0 -j DNAT --to-destination $var3

Чтобы это работало, вамможетнужно отключить фильтр обратного пути: я не уверен, потому что на моем ноутбуке Arch Linux я это делаюнетнужно сделать это, в то время как на моей рабочей станции Debian яделать. Так что я сейчас немного сбит с толку, извините за это.

Answer 1