Eine Möglichkeit, dies zu tun, besteht darin, dem Server eine IP-Adresse aus dem Subnetz zuzuweisen, das Sie für die virtuellen IPs Ihrer Clients verwenden. Dann weisen Sie diese IP-Adresse Ihren Clients als DNS-Server zu und schließen die IP aus dem IP-Adresspool aus. Optional können Sie den Zugriff auf diese IP-Adresse über das Richtlinienanpassungsmodul von Netfilter filtern (siehe Manpage iptables-extensions ), sodass nur über VPN zugegriffen werden kann.
Wenn Ihr IP-Adresspool 192.168.8.0/24beispielsweise konfiguriert ist (z. B. rightsourceipin ipsec.conf oder einem Abschnitt "pool" in swanctl.conf), weisen Sie 192.168.8.1Ihrem Server (auf einer beliebigen Schnittstelle, z. B. lo) zu und ändern dann den Pool in 192.168.8.2/24(so Die erste Adresse, die einem Kunden zugewiesen wurde, lautet 192.168.8.2). Um ihn 192.168.8.1als DNS-Server zuzuweisen, konfigurieren Sie ihn rightdnsin ipsec.conf oder im Poolbereich in swanctl.conf.
Sie können zwar auch die öffentliche IP-Adresse des Servers verwenden und nur den Zugriff auf UDP-Port 53 über VPN mit der genannten Richtlinienübereinstimmung zulassen. Dies funktioniert jedoch nicht mit Apple-Clients, da sie keine Pakete über VPN an die öffentliche IP-Adresse des Servers senden ( Sie müssen also den DNS-Server öffentlich verfügbar machen oder Firewall-Regeln dynamisch hinzufügen, die den Zugriff von der öffentlichen / angegebenen IP-Adresse des Clients aus ermöglichen.