고정된 도메인 목록에 대해 항상 VPN 내부 이름 서버를 사용하도록 분할 DNS 확인자를 구성합니다.

Question

이 질문은 주로 systemd-resolved에 관한 것이지만 dnsmasq에 대한 나의 시도를 별도의 답변으로 설명하는 것이 유용할 것이라고 생각했습니다. 나는 다른 답변이 먼저 나오도록 내 답변을 반대 투표했으며, 처음에 왜 작동하지 않았는지 명확하지 않기 때문에 반대했습니다. 편집: 내 게시물에 반대 투표를 할 수 없는 것 같습니다. 어쩌면 다른 사람이 이것을 할 수도 있습니다.

DNS

첫째, NetworkManager가 dbus를 통해 dnsmasq에 이 목록을 보내기 때문에 기본 네임서버 목록으로 "업링크" 프로필을 지정할 필요가 없습니다. 그러나 어떤 이유로 이것이 작동하지 않으면 네트워크에 연결하거나 다시 연결할 때 NetworkManager가 생성하는 파일을 dnsmasq로 지정하여 명시적으로 지정할 수 있습니다.

resolv-file=/run/NetworkManager/no-stub-resolv.conf

dnsmasq 구성 파일: /etc/dnsmasq.d/dns-int.conf:

no-resolv
server=/int/10.1.1.1
server=/org/10.1.1.1
server=/test.net/10.1.1.1
no-poll
domain-needed
strict-order
clear-on-reload
no-negcache
log-queries

/etc/NetworkManager/NetworkManager.conf의 [main] 섹션에서:

dns=dnsmasq

systemctl start dnsmasq를 사용하여 dnsmasq를 직접 시작할 때 사용할 구성 파일을 가리키는 NetworkManager에서 사용하는 구성 디렉터리에 심볼릭 링크를 추가합니다.

`/etc/NetworkManager/dnsmasq.d/dns-int.conf` -> `/etc/dnsmasq.d/dns-int.conf`

참고: dnsmasq가 모든 쿼리를 위에 나열된 내부 도메인(내부 이름 서버뿐만 아니라 10.1.1.1DHCP 할당 기본 이름 서버) 으로 전달하기 때문에 초기 시도가 실패했습니다.

$ sudo grep dnsmasq /var/log/messages | grep forward | grep test.net
May  3 10:06:52 ... dnsmasq[4128385]: forwarded foo.test.net to 10.1.1.1
May  3 10:06:52 ... dnsmasq[4128385]: forwarded foo.test.net to 192.168.1.1

이제는 더 이상 이 작업을 수행하지 않는 것 같습니다. 애초에 왜 그런 작업을 수행했는지 잘 모르겠습니다.

또한 구성 파일에 다음을 추가하여 검색 도메인 "intern"에 대한 쿼리 차단을 시도했습니다.

address=/intern/

매뉴얼 페이지에 따르면 Queries in the domains are never forwarded대신 다음을 수행합니다.

forwarded foo.intern to 192.168.1.1

가짜 주소를 시도했습니다:

address=/intern/127.0.0.2

... dnsmasq[95222]: query[A] foo.intern from 127.0.0.1
... dnsmasq[95222]: config foo.intern is 127.0.0.2
... dnsmasq[95222]: query[AAAA] foo.intern from 127.0.0.1
... dnsmasq[95222]: forwarded foo.intern to 192.168.1.1

$ host foo.intern localhost
Using domain server:
Name: localhost
Address: 127.0.0.1#53
Aliases: 

foo.intern has address 127.0.0.2
Host foo.intern not found: 3(NXDOMAIN)
Host foo.intern not found: 4(NOTIMP)

이러한 방식으로 IPv6 쿼리가 유출됩니다. 이 특정 설정을 사용하면 다음과 같습니다.

address=/intern/#

MX 쿼리가 유출되고 있습니다.

... dnsmasq[97107]: query[AAAA] foo.intern from 127.0.0.1
... dnsmasq[97107]: config foo.intern is ::
... dnsmasq[97107]: query[MX] foo.intern from 127.0.0.1
... dnsmasq[97107]: forwarded foo.intern to 192.168.1.1
... dnsmasq[97107]: reply error is not implemented

즉, DNS 누출을 막았다고 생각하는 순간 새로운 DNS 누출이 나타납니다. 이 모든 것은 NetworkManager가 dnsmasq를 시작할 때 발생합니다. ( address=/intern/dnsmasq가 수동으로 시작되면 작동하는 것처럼 보이기 때문입니다 .)

그 외에는 대부분의 경우 작동하는 것처럼 보이지만 시스템 해결 작업 구성을 갖는 것이 여전히 더 좋습니다.

Answer 1