OPNsense-系统配置1(02)

最新推荐文章于 2024-06-15 09:30:00 发布

JosiahWU

最新推荐文章于 2024-06-15 09:30:00 发布

阅读量1.3k

点赞数 23

文章标签：程序人生

本文链接：https://blog.csdn.net/qq_34135099/article/details/135562881

版权

简述

本章节主要讲述系统配置中的一些功能场景，如高可用、备份恢复、网关、路由、证书、固件升级、基础设置等配置。讲的会比较细，一些章节会参杂些小实验，所以内容会比较多，想分为多篇文章写。请点赞、关注、转发三连，保证不吃亏！😂

系统配置

基础设置-常规

设置语言

方便后续文中使用中文截图！（所有设置，都需要保存才生效）

主机和域

主机名.域名，和常见的 DNS 域名有点像，但和域名又有差异，因为在这可以不遵守DNS 的 RFC1035 规则^[1]。另外注意勿使用 local 域，因为 local 域是 mDNS 专用的。组播 mDNS 和我们常使用的单播 DNS 实现原理类似，区别在于 mDNS 只适用于局域网环境，若在局域网下开启此功能则可以互相发现对方主机名，也可以用于发布些局域网广告信息网站等（注意这里发现主机名需要区别于 DHCP 协议实现原理不一回事），而单播 DNS 没有环境限制。此处设置的主机名和域名，更像是 Linux 中设置的 hostname。

mDNS 使用 UDP 5353 端口。linux 下使用该协议的代表进程是 avahi，WIN 系统是 NetBOIS，苹果系统是 bonjour.

DNS 要求&原则：

可以包含英文字母（a-z，26 个）、数字（0-9，10 个），以及半角的连接符“-”（即中横线），不能使用空格及特殊字符（如！、$、&、?等）；
“-”不能连续出现，不能单独注册，也不能放在开头或结尾；
域名长度有限制，最多可以注册 63 个字符，域名总长度则不能超过 253 个字符(不包含最后一个.点)
在域名中，不区分英文字母的大小写。

时区

国际上有三种时间标准，分别是 GMT、UTC、夏令时。 1884 年-1972 年，格林威治时间（GMT）是世界时间的标准。现在我们用的是 UTC 世界标准时间。夏令时的出现是为了节约能源，现在有部分国家在用。想了解不同时间标准历史故事，参考champyin 的博文^[2]。

如下图，常见的北京时间是 CST=UTC+8（也叫东八区）。

DNS

设置 DNS 地址为 223.5.5.5（应用网关 200.1）180.76.76.76（应用网关 202.1）

从上图发现，两个解析地址分别设置不同的网关，下面将

允许DNS服务器列表被WAN/DHCP上的DHCP/PPP覆盖（此选项勾选将会使用 DHCP 分配的 DNS 解析）为了此次实验临时先去除.
不将本地DNS服务用作该系统的域名服务器（此选项勾选将会去除 127.0.0.1 的本地 DNS 解析）为了此次实验临时先勾选。

看下是否真的是从两个不同的网关发送解析请求的。

[root@route ~]# ip a  #由于内容过多，输出内容已精简
2: ens192: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    inet 192.168.200.1/24 brd 192.168.200.255 scope global noprefixroute ens192
3: ens224: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    inet 192.168.201.1/24 brd 192.168.201.255 scope global noprefixroute ens224
4: ens256: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    inet 192.168.202.1/24 brd 192.168.202.255 scope global noprefixroute ens256

[root@route ~]# tcpdump -i ens192 host 180.76.76.76 or host 223.5.5.5  -vnn
21:18:23.918482 IP (tos 0x0, ttl 64, id 11039, offset 0, flags [none], proto UDP (17), length 59)
    192.168.200.83.3140 > 223.5.5.5.53: 14915+ A? www.baidu.com. (31)
21:18:23.924714 IP (tos 0x14, ttl 116, id 11039, offset 0, flags [none], proto UDP (17), length 118)
    223.5.5.5.53 > 192.168.200.83.3140: 14915 3/0/0 www.baidu.com. CNAME www.a.shifen.com., www.a.shifen.com. A 153.3.238.102, www.a.shifen.com. A 153.3.238.110 (90)
21:18:23.931094 IP (tos 0x0, ttl 64, id 14258, offset 0, flags [none], proto UDP (17), length 59)
    192.168.200.83.33703 > 223.5.5.5.53: 62912+ AAAA? www.baidu.com. (31)
21:18:23.936284 IP (tos 0x14, ttl 116, id 14258, offset 0, flags [none], proto UDP (17), length 142)
    223.5.5.5.53 > 192.168.200.83.33703: 62912 3/0/0 www.baidu.com. CNAME www.a.shifen.com., www.a.shifen.com. AAAA 2408:873d:22:1a01:0:ff:b087:eecc, www.a.shifen.com. AAAA 2408:873d:22:18ac:0:ff:b021:1393 (114)
21:18:23.942167 IP (tos 0x0, ttl 64, id 57208, offset 0, flags [none], proto UDP (17), length 59)
    192.168.200.83.28605 > 223.5.5.5.53: 48755+ MX? www.baidu.com. (31)
21:18:23.967318 IP (tos 0x14, ttl 116, id 57208, offset 0, flags [none], proto UDP (17), length 143)
    223.5.5.5.53 > 192.168.200.83.28605: 48755 1/1/0 www.baidu.com. CNAME www.a.shifen.com. (115)

[root@route ~]# tcpdump -i ens256 host 180.76.76.76 or host 223.5.5.5  -vnn
21:18:23.974267 IP (tos 0x0, ttl 64, id 32649, offset 0, flags [none], proto UDP (17), length 59)
    192.168.202.55.40026 > 180.76.76.76.53: 62352+ TXT? www.baidu.com. (31)
21:18:23.989722 IP (tos 0x0, ttl 105, id 0, offset 0, flags [DF], proto UDP (17), length 86)
    180.76.76.76.53 > 192.168.202.55.40026: 62352 1/0/0 www.baidu.com. CNAME www.a.shifen.com. (58)

通过网关节点抓包和解析结果发现，每次解析时将不同类型的解析的确会分担到两个 DNS 上，且也是按照实际配置从不同网关发起的请求。

所有的解析类型有很多，在用的就有 51 种类型^[3]。常见的几种如下表：

类型	功能
A	解析 Ipv4 地址记录
AAAA	解析 Ipv6 地址记录
CNAME	解析域名的别名记录
PTR	反向解析，通过 IP 地址反向解析出域名
MX	解析邮件服务器
TXT	文本解析记录

当完成 OPNsense 本地 DNS 设置后，通过cat /etc/resolv.conf查看 OPNsense 的解析配置文件，存在如下配置：

root@OPNsense:~ $ cat /etc/resolv.conf
domain localdomain
nameserver 127.0.0.1
nameserver 192.168.200.1
nameserver 192.168.202.1
nameserver 223.5.5.5
nameserver 180.76.76.76
search localdomain

nameserver 很常见，解析顺序又是如何呢？还有 search 是干嘛的，有啥作用？

##### 测试1 #####
[root@route ~]# iptables -A INPUT -p udp --dport 53 -s 192.168.202.55  -d 192.168.202.1 -j DROP  #禁用202.1的解析

root@OPNsense:~ # date ; ping -c 2 www.baidu.com ; date
Fri Jan 12 00:09:19 CST 2024
PING www.a.shifen.com (153.3.238.110): 56 data bytes
64 bytes from 153.3.238.110: icmp_seq=0 ttl=50 time=10.356 ms
64 bytes from 153.3.238.110: icmp_seq=1 ttl=50 time=12.124 ms
--- www.a.shifen.com ping statistics ---
2 packets transmitted, 2 packets received, 0.0% packet loss
round-trip min/avg/max/stddev = 10.356/11.240/12.124/0.884 ms
Fri Jan 12 00:09:24 CST 2024

[root@route ~]# tcpdump -i ens256 -n -s 500 port domain
00:08:58.749823 IP 192.168.200.83.54887 > 192.168.200.1.domain: 59201+ A? www.baidu.com. (31)
00:08:59.793424 IP 192.168.200.83.4709 > 192.168.200.1.domain: 42987+ AAAA? www.baidu.com. (31)
00:08:59.788460 IP 192.168.202.55.23960 > 192.168.202.1.domain: 59201+ A? www.baidu.com. (31)
00:08:59.788810 IP 192.168.202.1.domain > 192.168.202.55.23960: 59201 3/0/0 CNAME www.a.shifen.com., A 153.3.238.102, A 153.3.238.110 (93)
00:09:00.870717 IP 192.168.202.55.48984 > 192.168.202.1.domain: 42987+ AAAA? www.baidu.com. (31)
00:09:00.870898 IP 192.168.202.1.domain > 192.168.202.55.48984: 42987 3/0/0 CNAME www.a.shifen.com., AAAA 2408:873d:22:18ac:0:ff:b021:1393, AAAA 2408:873d:22:1a01:0:ff:b087:eecc (117)
00:09:00.879278 IP 192.168.200.83.40062 > 192.168.200.1.domain: 41884+ A? www.baidu.com. (31)
00:09:01.919095 IP 192.168.202.55.15601 > 192.168.202.1.domain: 41884+ A? www.baidu.com. (31)
00:09:01.919385 IP 192.168.202.1.domain > 192.168.202.55.15601: 41884 3/0/0 CNAME www.a.shifen.com., A 153.3.238.110, A 153.3.238.102 (93)

第一个问题，由测试1可以看到是按照 resolve 配置先后进行解析请求，且时间间隔为 1 秒当第一个 dns 无法解析到，会从上往下循环发起请求，且只会选文件中前 3 个地址进行解析请求。有时候解析慢的原因大致就是这个问题。

解析配置： options rotate timeout:1 attempts:3 single-request-reopen

释义： 循环查询、超时时间、重试次数、每次解析都是用独立连接请求。防止 NAT 过程中 DNS 服务器认为是相同客户端发起的请求，此设置将会影响查询性能。

##### 测试2 #####
root@OPNsense:~ # cat /etc/resolv.conf #输出内容已精简
domain localdomain
search localdomain
root@OPNsense:~ # ping www
ping: Unknown host

root@OPNsense:~ # cat /etc/resolv.conf #输出内容已精简
domain localdomain
search localdomain baidu.com #加上百度的域
root@OPNsense:~ # ping www
PING www.a.shifen.com (153.3.238.102): 56 data bytes #www.baidu.com的别名是www.a.shifen.com
64 bytes from 153.3.238.102: icmp_seq=0 ttl=50 time=15.458 ms

第二个问题，从测试2看出，就是当无法解析到地址时候，会把域后缀给加到后面进行解析。另外在没有设置 search 的情况下，search 默认为 domain 的值，一旦配置 search，那 domain 就没用了，优先会使用 search。

网关切换

允许默认网关切换，存在多个网关时使用。勾选后，当其中一个网关监控到异常时，会将默认路由指向另一个网关，恢复后重新指回来。网关的监控会在后面网关设置章节讲解。

客官，欢迎光临本站！路途遥远，常进来看看！

参考资料

[1]

: https://www.ietf.org/rfc/rfc1035.txt

[2]

: https://champyin.com/2020/04/24/彻底弄懂GMT、UTC、时区和夏令时/

[3]

: https://en.wikipedia.org/wiki/List_of_DNS_record_types

本文由 mdnice 多平台发布

JosiahWU

关注

23
点赞
踩
17

收藏

觉得还不错? 一键收藏
1
评论
OPNsense-系统配置1(02)

组播 mDNS 和我们常使用的单播 DNS 实现原理类似，区别在于 mDNS 只适用于局域网环境，若在局域网下开启此功能则可以互相发现对方主机名，也可以用于发布些局域网广告信息网站等（注意这里发现主机名需要区别于 DHCP 协议实现原理不一回事），而单播 DNS 没有环境限制。本章节主要讲述系统配置中的一些功能场景，如高可用、备份恢复、网关、路由、证书、固件升级、基础设置等配置。可以包含英文字母（a-z，26 个）、数字（0-9，10 个），以及半角的连接符“-”（即中横线），不能使用空格及特殊字符（如！
复制链接

扫一扫