Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
A nie przepisał ci pliki /etc/resolv.conf ?
Tu masz info o serwerze DoH w dnscrypt-proxy.
Offline
morfik napisał(-a):
A nie przepisał ci pliki /etc/resolv.conf ?
Tu masz info o serwerze DoH w dnscrypt-proxy.
Nie przepisał lecz wyczyścił, plik był pusty. Uruchomiłem systemd-resolved i net wrócił. OK
Ten link, który podałeś znam i czytałem w międzyczasie. Szkoda, że Chromium nie obsługuje SNI bo tylko ten test wypada niepomyślnie. W FF wszystkie 4 testy https://www.cloudflare.com/ssl/encrypted-sni/
wypadają pomyślnie.
Offline
No bo domyślnie jak używasz systemd-resolved, to on się opiekuje tym plikiem. Dlatego wyłącz systemd-resolved i utwórz normalny plik /etc/resolv.conf i dodaj w nim wpis wskazujący na dnsmasq i będzie działać.
Co do linku, no tam jest info o tym jak ten serwer DoH w dnscrypt-proxy postawić.
Offline
morfik napisał(-a):
No bo domyślnie jak używasz systemd-resolved, to on się opiekuje tym plikiem. Dlatego wyłącz systemd-resolved i utwórz normalny plik /etc/resolv.conf i dodaj w nim wpis wskazujący na dnsmasq i będzie działać.
Tego właśnie nie mogę zrobić gdyż po wyłączeniu systemd-resolved plik resolv.conf, jak uprzednio zgłaszałem, jest pusty i nowego zapisu nie przyjmuje. Chattr +i nie robiłem a przed wyłączeniem systemd-resolved mogę zmieniać i zapisywać.
Offline
No bo w przypadku korzystania z systemd-resolved, ten plik /etc/resolv.conf jest linkiem. Usuń ten link i stwórz zwykły plik tekstowy w jego miejsce po tym jak dezaktywujesz systemd-resolved. I wtedy będzie działać.
Offline
Tak uczyniłem i rzeczywiście teraz śmiga.
Miałem szczęście, że to właśnie Ty odpowiedziałeś na mój post. Zainspirował mnie dnscrypt po przeczytaniu Twojego archiwalnego już artykułu na Dug.net.pl
https://dug.net.pl/tekst/239/jak_dbac_o_swoja_prywa … o_w_sieci/#18
Wtedy proponowałeś Opendns bo wówczas nie było jeszcze CloudFlare, a on jest dobrym wyborem. Zainstalowałem też w smartfonie i mam odczucie, że strony internetowe szybciej się otwierają. Ale poza szybkością chodzi przecież głównie o bezpieczeństwo więc jest jedno i drugie.
Intryguje mnie jeszcze ten fragment tamtego artykułu, cytuję:
Ze względów bezpieczeństwa wskazane jest by utworzyć użytkownika, który będzie uruchamiał DNScrypta - nie może to być ani root, ani standardowy użytkownik systemu. Tworzymy zatem użytkownika opendns bez możliwości logowania się na konsolę: # addgroup opendns # mkdir -p /home/opendns/ # chown -R opendns:opendns /home/opendns/ # useradd opendns -d /home/opendns -g opendns -s /bin/false
Opendns, bo wtedy o nim była mowa. Czy zrobić to odnośnie cloudflare?
Offline
Na debianie z soketami systemd, proces będzie uruchamiany jako user _dnscrypt-proxy , a bez soketów to trzeba w configu dnscrypt-proxy określić usera. Tak czy inaczej proces będzie działał jako inny user niż root i nie ma potrzeby już tworzyć tego usera, no chyba, że nie istnieje. U mnie to wygląda tak:
# ps -eo user,group,%cpu,%mem,pid,ppid,ni,pri,rtprio,gid,rgid,supgid,args | grep -i dns _dnscry+ nogroup 0.2 0.3 1381729 1 0 19 - 65534 65534 - /usr/sbin/dnscrypt-proxy -config /etc/dnscrypt-proxy/dnscrypt-proxy.toml -child dnsmasq nogroup 0.0 0.0 1381735 1 0 19 - 65534 65534 - /usr/sbin/dnsmasq -x /run/dnsmasq/dnsmasq.pid -u dnsmasq -7 /etc/dnsmasq.d,.dpkg-dist,.dpkg-old,.dpkg-new --local-service
A katalogi domowe są w:
# cat /etc/passwd | grep dns dnsmasq:x:109:65534:dnsmasq,,,:/var/lib/misc:/usr/sbin/nologin _dnscrypt-proxy:x:113:65534::/run/dnscrypt-proxy:/usr/sbin/nologin
Więc są tworzone dynamicznie.
Ostatnio edytowany przez morfik (2020-09-15 21:25:16)
Offline
Ja mam inaczej:
# ps -eo user,group,%cpu,%mem,pid,ppid,ni,pri,rtprio,gid,rgid,supgid,args | grep -i dns dnscryp+ dnscryp+ 0.0 0.2 375 1 0 19 - 62582 62582 62582 /usr/bin/dnscrypt-proxy --config /etc/dnscrypt-proxy/dnscrypt-proxy.toml dnsmasq dnsmasq 0.0 0.0 412 1 0 19 - 974 974 - /usr/bin/dnsmasq -k --enable-dbus --user=dnsmasq --pid-file marek marek 0.0 0.1 2520 968 0 19 - 1001 1001 3,19,90,94,96,98,983 /usr/lib/gvfsd-dnssd --spawner :1.8 /org/gtk/gvfs/exec_spaw/5 root root 0.0 0.0 3104 1349 0 19 - 0 0 0 grep -i dns
# cat /etc/passwd | grep dns dnsmasq:x:974:974:dnsmasq daemon:/:/usr/bin/nologin opendns:x:1001:1002::/home/opendns:/bin/false
opendns jest pozostałością po pierwszych moich kombinacjach.
systemctl status dnsmasq Loaded: loaded (/usr/lib/systemd/system/dnsmasq.service; enabled; vendor p> Active: active (running) since Tue 2020-09-15 20:34:57 CEST; 3min 59s ago wrz 15 20:34:57 marek-x751lx systemd[1]: Starting dnsmasq - A lightweight DHCP > wrz 15 20:34:57 marek-x751lx dnsmasq[391]: dnsmasq: składnia sprawdzona, jest p> wrz 15 20:34:57 marek-x751lx systemd[1]: Started dnsmasq - A lightweight DHCP a> wrz 15 20:34:57 marek-x751lx dnsmasq[412]: uruchomiony, wersja 2.82, 10000 miej> wrz 15 20:34:57 marek-x751lx dnsmasq[412]: opcje kompilacji: IPv6 GNU-getopt DB> wrz 15 20:34:57 marek-x751lx dnsmasq[412]: obsługa DBus włączona, podłączono do> wrz 15 20:34:57 marek-x751lx dnsmasq[412]: używam serwera nazw 208.67.222.222#5> wrz 15 20:34:57 marek-x751lx dnsmasq[412]: ignorowanie serwera nazw 127.0.0.1 ->
Ostatnia pozycja- ignorowanie nazw..., czy jest to istotne?
Ostatnio edytowany przez mark (2020-09-15 21:48:47)
Offline
Nazwy userów i grup nie mają aż takiego znaczenia, byle by tylko proces nie działał jako root.
Jak pokazujesz log, to używaj journalctl i pokazuj cały komunikat a nie ucięty, bo bez tego nie widać co tam jest za informacja.
Ostatnio edytowany przez morfik (2020-09-15 21:49:52)
Offline
journalctl -b -u dnsmasq.service --no-pager -l -- Logs begin at Thu 2020-09-03 21:10:04 CEST, end at Tue 2020-09-15 21:29:05 CEST. -- wrz 15 20:34:57 marek-x751lx systemd[1]: Starting dnsmasq - A lightweight DHCP and caching DNS server... wrz 15 20:34:57 marek-x751lx dnsmasq[391]: dnsmasq: składnia sprawdzona, jest prawidłowa. wrz 15 20:34:57 marek-x751lx systemd[1]: Started dnsmasq - A lightweight DHCP and caching DNS server. wrz 15 20:34:57 marek-x751lx dnsmasq[412]: uruchomiony, wersja 2.82, 10000 miejsc w pamięci podręcznej wrz 15 20:34:57 marek-x751lx dnsmasq[412]: opcje kompilacji: IPv6 GNU-getopt DBus no-UBus i18n IDN2 DHCP DHCPv6 no-Lua TFTP conntrack ipset auth DNSSEC loop-detect inotify dumpfile wrz 15 20:34:57 marek-x751lx dnsmasq[412]: obsługa DBus włączona, podłączono do serwera DBus wrz 15 20:34:57 marek-x751lx dnsmasq[412]: używam serwera nazw 208.67.222.222#53 dla domeny pool.ntp.org wrz 15 20:34:57 marek-x751lx dnsmasq[412]: ignorowanie serwera nazw 127.0.0.1 - interfejs lokalny wrz 15 20:34:57 marek-x751lx dnsmasq[412]: wyczyszczono pamięć podręczną
Offline
tak mam a może chodzi o server pool.ntp.org?
Ostatnio edytowany przez mark (2020-09-15 22:00:31)
Offline
Pokaż całą konfigurację dnsmasq.
Generalnie to ten no-resolv powinien ten komunikat uciszyć. Więc może masz tam jakąś literówkę.
Ostatnio edytowany przez morfik (2020-09-15 22:07:49)
Offline
Według tego schematu
Ze względów bezpieczeństwa wskazane jest by utworzyć użytkownika, który będzie uruchamiał DNScrypta - nie może to być ani root, ani standardowy użytkownik systemu. Tworzymy zatem użytkownika cloudflare bez możliwości logowania się na konsolę:
groupadd cloudflare mkdir -p /home/cloudflare useradd -g cloudflare cloudflare chown -R cloudflare:cloudflare /home/cloudflare useradd cloudflare -d /home/cloudflare -g cloudflare -s /bin/false
Jak przerobić ten skrypt aby dnscrypt uruchamiał user cloudflare, można run wykonać poprzez init.d?
#!/bin/bash ### BEGIN INIT INFO # Provides: cloudflare # Required-Start: $remote_fs $syslog # Required-Stop: $remote_fs $syslog # Default-Start: 2 3 4 5 # Default-Stop: 0 1 6 # Short-Description: Run /etc/init.d/cloudflare if it exist ### END INIT INFO /usr/local/sbin/dnscrypt-proxy --user=cloudflare --daemonize --logfile=/var/log/cloudflare
Z powodu objętości pliki konfiguracyjne dałem na Pastebin
1. log dnsmasq.conf
https://pastebin.pl/view/00c67386
2. log dnscrypt-proxy.toml
https://pastebin.pl/view/dc774880
czy w nim ustawić: user_name = 'nobody' na user_name =`cloudflare`?
Daję powtórnie 2 logi:
ps -eo user,group,%cpu,%mem,pid,ppid,ni,pri,rtprio,gid,rgid,supgid,args | grep -i dns dnscryp+ dnscryp+ 0.0 0.2 618 1 0 19 - 62582 62582 62582 /usr/bin/dnscrypt-proxy --config /etc/dnscrypt-proxy/dnscrypt-proxy.toml dnsmasq dnsmasq 0.0 0.0 642 1 0 19 - 974 974 - /usr/bin/dnsmasq -k --enable-dbus --user=dnsmasq --pid-file marek marek 0.0 0.1 2299 983 0 19 - 1001 1001 3,19,90,94,96,98,983 /usr/lib/gvfsd-dnssd --spawner :1.5 /org/gtk/gvfs/exec_spaw/3 marek marek 0.0 0.4 6323 950 0 19 - 1001 1001 3,19,90,94,96,98,983 leafpad /home/marek/Pulpit/dns root root 0.0 0.0 6525 3382 0 19 - 0 0 0 grep -i dns
cat /etc/passwd | grep dns dnsmasq:x:974:974:dnsmasq daemon:/:/usr/bin/nologin
Ostatnio edytowany przez mark (2020-09-16 18:42:13)
Offline
W konfiguracji dnsmasq masz:
server=127.0.0.1#53
Tu powinien być adres dnscrypt. czyli 127.0.2.1#53
Userów nie ma po co tworzyć dodatkowych, dnsmasq ma chodzić na userze dnsmasq, a dnscrypt-proxy na dnscrypt-proxy czy jak ci go tam nazwali.
Skrypt init też jest zbędny, bo masz usługi systemd.
Ostatnio edytowany przez morfik (2020-09-16 20:01:35)
Offline
OK adres servera poprawiłem a z tamtych zaleceń, to artykuł z 2013r.,odnośnie tworzenia nowego usera można zrezygnować. Metoda uruchamiania dnscrypt przez /etc/init.d/... mi nie pasowała do obecnie stosowanego systemd.
Zobacz jeszcze odświeżony log
journalctl -b -u dnsmasq.service --no-pager -l -- Logs begin at Thu 2020-09-03 21:10:04 CEST, end at Wed 2020-09-16 22:12:58 CEST. -- wrz 16 21:57:57 marek-x751lx systemd[1]: Starting dnsmasq - A lightweight DHCP and caching DNS server... wrz 16 21:57:57 marek-x751lx dnsmasq[562]: dnsmasq: składnia sprawdzona, jest prawidłowa. wrz 16 21:57:57 marek-x751lx systemd[1]: Started dnsmasq - A lightweight DHCP and caching DNS server. wrz 16 21:57:57 marek-x751lx dnsmasq[573]: uruchomiony, wersja 2.82, 10000 miejsc w pamięci podręcznej wrz 16 21:57:57 marek-x751lx dnsmasq[573]: opcje kompilacji: IPv6 GNU-getopt DBus no-UBus i18n IDN2 DHCP DHCPv6 no-Lua TFTP conntrack ipset auth DNSSEC loop-detect inotify dumpfile wrz 16 21:57:57 marek-x751lx dnsmasq[573]: obsługa DBus włączona, podłączono do serwera DBus wrz 16 21:57:57 marek-x751lx dnsmasq[573]: uwaga: interfejs wlan0 nie jest włączony wrz 16 21:57:57 marek-x751lx dnsmasq[573]: używam serwera nazw 208.67.222.222#53 dla domeny pool.ntp.org wrz 16 21:57:57 marek-x751lx dnsmasq[573]: ignorowanie serwera nazw 127.0.0.1 - interfejs lokalny wrz 16 21:57:57 marek-x751lx dnsmasq[573]: wyczyszczono pamięć podręczną wrz 16 21:58:01 marek-x751lx dnsmasq[573]: listening on wlan0(#3): 192.168.1.10 port 53 wrz 16 21:58:03 marek-x751lx dnsmasq[573]: listening on wlan0(#3): fe80::e6b:c124:8730:b2c7%wlan0 port 53 wrz 16 22:10:48 marek-x751lx dnsmasq[573]: zakończyłem działanie z powodu odebrania SIGTERM wrz 16 22:10:48 marek-x751lx systemd[1]: Stopping dnsmasq - A lightweight DHCP and caching DNS server... wrz 16 22:10:48 marek-x751lx systemd[1]: dnsmasq.service: Succeeded. wrz 16 22:10:48 marek-x751lx systemd[1]: Stopped dnsmasq - A lightweight DHCP and caching DNS server. wrz 16 22:10:48 marek-x751lx systemd[1]: Starting dnsmasq - A lightweight DHCP and caching DNS server... wrz 16 22:10:48 marek-x751lx dnsmasq[1819]: dnsmasq: składnia sprawdzona, jest prawidłowa. wrz 16 22:10:48 marek-x751lx systemd[1]: Started dnsmasq - A lightweight DHCP and caching DNS server. wrz 16 22:10:48 marek-x751lx dnsmasq[1820]: uruchomiony, wersja 2.82, 10000 miejsc w pamięci podręcznej wrz 16 22:10:48 marek-x751lx dnsmasq[1820]: opcje kompilacji: IPv6 GNU-getopt DBus no-UBus i18n IDN2 DHCP DHCPv6 no-Lua TFTP conntrack ipset auth DNSSEC loop-detect inotify dumpfile wrz 16 22:10:48 marek-x751lx dnsmasq[1820]: obsługa DBus włączona, podłączono do serwera DBus wrz 16 22:10:48 marek-x751lx dnsmasq[1820]: używam serwera nazw 208.67.222.222#53 dla domeny pool.ntp.org wrz 16 22:10:48 marek-x751lx dnsmasq[1820]: używam serwera nazw 127.0.2.1#53 wrz 16 22:10:48 marek-x751lx dnsmasq[1820]: wyczyszczono pamięć podręczną
czy można się tutaj do czegoś "przyczepić"?
Offline
No jest ok.
Jedne co to bym zmniejszył trochę cache DNS bo masz 10K wpisów a to trochę dużo. Zwykle tyle domen nie odwiedzasz nonstop, a im większy cache tym wolniej będzie przeszukiwany. Dlatego powinien być nieco mniejszy (~1K wpisów na warunki domowe albo nawet i mniejszy). W ten sposób te nieużywane domeny będą z cache usuwane i przy tych częściej odwiedzanych domenach cache będzie sporo szybszy.
Co do tego artykułu jeszcze, to jestem w trakcie pisania aktualizacji i pewnie w weekend ją wypuszczę, bo prawie na ukończeniu jest, ale trzeba tam jeszcze parę rzeczy dopisać. xD
Ostatnio edytowany przez morfik (2020-09-16 23:12:12)
Offline
morfik napisał(-a):
No jest ok.
Jedne co to bym zmniejszył trochę cache DNS bo masz 10K wpisów a to trochę dużo. Zwykle tyle domen nie odwiedzasz nonstop, a im większy cache tym wolniej będzie przeszukiwany. Dlatego powinien być nieco mniejszy (~1K wpisów na warunki domowe albo nawet i mniejszy). W ten sposób te nieużywane domeny będą z cache usuwane i przy tych częściej odwiedzanych domenach cache będzie sporo szybszy.
Co do tego artykułu jeszcze, to jestem w trakcie pisania aktualizacji i pewnie w weekend ją wypuszczę, bo prawie na ukończeniu jest, ale trzeba tam jeszcze parę rzeczy dopisać. xD
Tak zrobię (cache).
Nie przesadze mówiąc, że wykonałeś fantastyczną robotę pisząc wspomniany artykuł. Bezpieczeństwo w sieci to jakże ważna kwestia szczególnie gdy korzystamy z bankowości internetowej, ale nie tylko.
Powtórzę, miałem szczęście że to właśnie Ty, autor inspirującego artykułu, odpowiedziałeś na mój post. Bardzo mi ta dyskusja pomogła i za nią serdecznie dziękuję. Z niecierpliwością będę czekał na aktualizację.
Jak dla mnie to wątek zamknięty ale poczekajmy, nigdy nie wiadomo co wyskoczy.
Offline
No chyba skończyłem ten artykuł o szyfrowaniu zapytań DNS z wykorzystnaiem dnsmasq i dnscrypt-proxy. U mnie działa. xD
Offline
morfik napisał(-a):
No chyba skończyłem ten artykuł o szyfrowaniu zapytań DNS z wykorzystnaiem dnsmasq i dnscrypt-proxy. U mnie działa. xD
A u mnie nie.
journalctl -b -u dnsmasq.service --no-pager -l -- Logs begin at Thu 2020-09-03 21:10:04 CEST, end at Sat 2020-09-19 22:14:10 CEST. -- wrz 19 22:12:27 marek-x751lx systemd[1]: Starting dnsmasq - A lightweight DHCP and caching DNS server... wrz 19 22:12:27 marek-x751lx dnsmasq[404]: dnsmasq: składnia sprawdzona, jest prawidłowa. wrz 19 22:12:27 marek-x751lx systemd[419]: dnsmasq.service: Failed to execute command: No such file or directory wrz 19 22:12:27 marek-x751lx systemd[419]: dnsmasq.service: Failed at step EXEC spawning /etc/init.d/dnsmasq: No such file or directory wrz 19 22:12:27 marek-x751lx systemd[1]: dnsmasq.service: Control process exited, code=exited, status=203/EXEC wrz 19 22:12:27 marek-x751lx systemd[1]: dnsmasq.service: Failed with result 'exit-code'. wrz 19 22:12:27 marek-x751lx systemd[1]: Failed to start dnsmasq - A lightweight DHCP and caching DNS server.
Postępowałem za Twoimi wskazówkami ale widocznie coś spiepszyłem tak, że znowu dnsmasq nie rusza.
Offline
Pokaż jak wygląda u ciebie usługa dnsmasq.service:
# systemctl cat dnsmasq.service --no-pager
Tam generalnie w pliku tej usługi są polecenia, które startują dnsmasq, spróbuj je ręcznie w terminalu wpisać i zobacz czy generują błędy.
Ostatnio edytowany przez morfik (2020-09-20 00:07:43)
Offline
morfik napisał(-a):
Pokaż jak wygląda u ciebie usługa dnsmasq.service:
Kod:
# systemctl cat dnsmasq.service --no-pagerTam generalnie w pliku tej usługi są polecenia, które startują dnsmasq, spróbuj je ręcznie w terminalu wpisać i zobacz czy generują błędy.
systemctl cat dnsmasq.service --no-pager # /etc/systemd/system/dnsmasq.service [Unit] Description=dnsmasq - A lightweight DHCP and caching DNS server Requires=network.target dnscrypt-proxy.service Wants=nss-lookup.target Before=nss-lookup.target After=network-online.target dnscrypt-proxy.service [Service] Type=forking PIDFile=/run/dnsmasq/dnsmasq.pid # Test the config file and refuse starting if it is not valid. ExecStartPre=/usr/sbin/dnsmasq --test # We run dnsmasq via the /etc/init.d/dnsmasq script which acts as a # wrapper picking up extra configuration files and then execs dnsmasq # itself, when called with the "systemd-exec" function. ExecStart=/etc/init.d/dnsmasq systemd-exec # The systemd-*-resolvconf functions configure (and deconfigure) # resolvconf to work with the dnsmasq DNS server. They're called like # this to get correct error handling (ie don't start-resolvconf if the # dnsmasq daemon fails to start). ExecStartPost=/etc/init.d/dnsmasq systemd-start-resolvconf ExecStop=/etc/init.d/dnsmasq systemd-stop-resolvconf ExecReload=/bin/kill -HUP $MAINPID [Install] WantedBy=multi-user.target
W lokalizacji /etc/init.d nie mam niczego, pusto.
# ExecStartPre=/usr/sbin/dnsmasq --test bash: --test: nie znaleziono polecenia # ExecStart=/etc/init.d/dnsmasq systemd-exec bash: systemd-exec: nie znaleziono polecenia # ExecStartPost=/etc/init.d/dnsmasq systemd-start-resolvconf bash: systemd-start-resolvconf: nie znaleziono polecenia
Ostatnio edytowany przez mark (2020-09-20 10:21:45)
Offline
morfik napisał(-a):
Widać wy macie jakoś inaczej to zorganizowane. Przywróć starą usługę systemd dla dnsmasq, bo ta chyba działa jedynie na debianie. xD
Może masz rację jak wcześniej napisałem u mnie rzecz się dzieje w Archu więc widocznie są inne uwarunkowania. Wcześniej nim pogrzebałem w ustawieniach Twojej aktualizacji artykułu wszystko śmigało dobrze. Cóż, wracam do poprzedniego.
A ta stara usługa systemu dla dnsmasq, czy chodzi o systemd-resolved?
Ostatnio edytowany przez mark (2020-09-20 15:50:31)
Offline
Nie, chodzi o to, że wrzuciłeś moją usługę do /etc/systemd/system/dnsmasq.service , usuń ją i przeładuj systemd. Powinien wtedy czytać usługę systemową, czyli tą, którą wam dali z pakietem i na niej będzie wszystko działać.
Offline