[5.2 A9] DNS-маршруты (FQDN) не работают для клиентов сегмента, привязанного к политике подключений

[Александр121313]

Устройство: Keenetic Giga (KN-1011), регион EAEU

Версия: 5.2 Alpha 9 (5.02.A.9.0-0), канал draft

Воспроизводится также на 5.1 Beta 0.2 (5.01.B.0.0-2)

 

КОНФИГУРАЦИЯ

- GigabitEthernet1 — провайдер, маршрут по умолчанию в системной таблице.

- Wireguard0 — VPN-подключение.

- Bridge2 — отдельный сегмент, привязан к политике Policy0. В политике разрешён только Wireguard0, GigabitEthernet1 явно запрещён. Маршрут по умолчанию в таблице политики: 0.0.0.0/0 -> Wireguard0.

- Сетевые правила -> Маршрутизация -> Маршруты DNS: создан список доменных имён, создано правило "список -> GigabitEthernet1".

- Проверены все комбинации флагов "Эксклюзивный маршрут" и "Добавлять автоматически" — поведение одинаковое.

 

ОЖИДАЕТСЯ

Клиент из сегмента Bridge2 резолвит домен из списка -> для полученного IP устанавливается маршрут через GigabitEthernet1 -> трафик идёт мимо Wireguard0.

 

ФАКТИЧЕСКИ

Маршрут не создаётся вообще: ни в системной таблице, ни в таблице политики. Трафик к домену из списка уходит через Wireguard0. Правило при этом корректно сохранено в конфигурации:

show sc dns-proxy route -> { "group": "domain-list0", "interface": "GigabitEthernet1", "auto": true }

 

ДИАГНОСТИКА, УКАЗЫВАЮЩАЯ НА ПРИЧИНУ

В выводе show dns-proxy параметр fqdn_mirror_path присутствует только у системного экземпляра прокси и отсутствует у экземпляров, создаваемых для политик:

proxy-name "System" -> fqdn_mirror_path = /var/run/fqdn-dns-mirror.sock

proxy-name "Policy0" -> параметр отсутствует

proxy-name "Policy1" -> параметр отсутствует

Клиенты сегмента, привязанного к политике, обслуживаются прокси этой политики, поэтому механизм отслеживания FQDN к их запросам не применяется. Счётчики Total incoming requests у Policy0 растут, то есть запросы идут именно через него.

 

ЧТО ПРИ ЭТОМ РАБОТАЕТ

Обычные статические IPv4-маршруты через GigabitEthernet1 корректно попадают в таблицу политики Policy0 и работают, несмотря на то что GigabitEthernet1 в этой политике запрещён. То есть policy-based маршрутизация сама по себе исправна — не работает именно связка "Маршруты DNS + политика подключений".

 

МИНИМАЛЬНОЕ ВОСПРОИЗВЕДЕНИЕ

1. Создать сегмент и привязать его к политике, где разрешён только VPN-интерфейс.

2. Создать список доменных имён с любым доменом.

3. Создать DNS-маршрут "этот список -> интерфейс провайдера".

4. С клиента этого сегмента резолвить домен и посмотреть traceroute: трафик идёт через VPN, маршрут не создан.

[Denis P]

28 минут назад, Александр121313 сказал:

Bridge2 — отдельный сегмент, привязан к политике Policy0

И не будет.

Начиная с 5.2 только через cli

ip policy Policy0 dns-proxy route object-group domain-list<*> Wireguard<*>

Изменено 14 часов назад пользователем Denis P

[Александр121313]

4 часа назад, Denis P сказал:

И не будет.

Начиная с 5.2 только через cli

ip policy Policy0 dns-proxy route object-group domain-list<*> Wireguard<*>

Не знал, все понятно, жду 5.2
Спасибо!