Принудительное разрешение DNS за пределами VPN

У меня похожая ситуация, когда я должен использовать очень неуклюжее портальное соединение Wi-Fi с очень неуклюжим, очень жутким виртуальным брандмауэром. Он не только отслеживает защищенные соединения, но и имитирует IP-адреса DNS-сервера, используя DPI (при обнаружении запроса).

Единственное, что работает для меня, — это пройти через VPN / брандмауэр, а не пытаться проникнуть под него, используя dnscrypt-proxy , используя только DNS-over-HTTPS, поскольку он может обнаруживать протокол dnscrypt. Прямо сейчас он вообще не знает о DNS-over-HTTPS.

Я реализую его с помощью LaunchAgent, который отслеживает /etc/resolve.confизменения, и когда он обнаруживает изменение, он перезапускает dnscrypt-proxy, а затем запускает networksetup -setdnsservers Wi-Fi 127.0.0.1.

В стороне: я уже давно использую Quad9 и предпочитаю его Google и CloudFlare.

Редактировать: немного поиграв с этим, я заметил, что (каким-то образом я даже не понял, куда идет трафик), адреса IPv6 каким-то образом разрешаются ::1в качестве DNS-сервера, даже если нет установлены другие DNS-сервера. Так что, возможно, лучше просто отключить IPv6, если это возможно.

Редактировать 2:

Да, я думаю, что возможность разделить этот маршрут может быть слишком много общего с более новой реализацией VPN на системном уровне; Я думаю, что DNS-прокси, вероятно, ваш лучший выбор. Возможно, можно удалить ipsec0маршрут по умолчанию, а затем добавить его обратно для ограниченного диапазона IP-адресов ... но каждый раз, когда я пытаюсь это сделать (с IKEv2, а не с AnyConnect, но я предполагаю, что они используют один и тот же API), это просто... останавливается.

Что касается остаточного трафика, может быть, это Rendezvous? sudo killall -HUP mDNSResponder; sudo launchctl unload -w /System/Library/LaunchDaemons/com.apple.mDNSResponder.plist?

Кроме того, возможно, вы сможете использовать такое приложение, как Shimo? Это доступно в Setapp! Я не знаю точно, как работает AnyConnect, но он говорит, что поддерживает его, и у него есть доступные параметры конфигурации, которые именно то, что вы ищете для других протоколов, включая IKE, так что... может быть?

Короткий ответ: вы, скорее всего, не сможете внести это изменение.

Это очень типичная ситуация, когда управляемые настройки запрещают ситуацию с разделенным туннелем VPN . Буквально, когда вы подключаетесь к VPN-шлюзу, он гарантирует, что вы больше не сможете добраться до любого пункта назначения в сети, кроме DNS и настроек, которые находятся на другом конце сети, где заканчивается VPN.

Чтобы исправить это, вам необходимо:

• измените конфигурацию VPN, чтобы разрешить разделенный туннель - возможно, вам понадобятся сетевые администраторы, чтобы благословить это изменение / сделать его эффективным.
• Не использовать VPN вообще
• Настройте виртуальную машину, чтобы вы могли контролировать свою ОС и разрешать только гостевой ОС подключаться к VPN.
• убедить сетевого администратора изменить DNS на другом конце в соответствии с вашими потребностями (вторичная настройка DNS, которая у вас есть перед подключением к VPN, изменением серверов пересылки и т. д.)
• используйте другой клиент или настройку клиента, чтобы избежать профиля, который вы запускаете в Cisco (при условии, что cisco не позволит вам изменить конфигурацию) - принудительно указать IP-адрес DNS-сервера при подключении к VPN

(это распространенный вопрос, на который никогда не будет ответа, кроме как - не используйте VPN, но я надеюсь, что для вас есть способ)

• Как переопределить порядок преобразователя DNS при подключении к L2TP VPN
• Проблемы с разрешением DNS Yosemite из-за туннелей IPSec / VPN
• Принудительный IP-адрес DNS-сервера при подключении к VPN
• Mac OS X Mountain Lion — разрешение DNS использует неправильный порядок в VPN через коммутируемое соединение

Ваш VPN-клиент регистрирует свое состояние DNS с помощью scutil, и вы можете использовать тот же инструмент, чтобы изменить DNS на то, что вам нужно.

Чтобы просмотреть зарегистрированные в настоящее время состояния DNS:

scutil <<< list | awk '{ print $4 }' | egrep '^State:/.+/DNS$'

Я не знаю, как зарегистрировать ваше собственное состояние и сделать так, чтобы оно переопределяло другие, но вы можете легко изменить все зарегистрированные состояния, чтобы они отражали предпочитаемый вами DNS-сервер:

mydns=1.1.1.1
states=$(scutil <<< list | awk '{ print $4 }' | egrep '^State:.+/DNS$')
for state in $states ; do
  printf "d.init\nd.add ServerAddresses * ${mydns}\nset ${state}\nquit\n" | scutil
done

Этот код проходит через список зарегистрированных состояний и для каждого из них перезаписывает его новым состоянием, которое просто содержит выбранный вами DNS-сервер. Вы также можете добавить поисковые домены или другие параметры.

Вы можете поэкспериментировать scutil, запустив его в командной строке и набрав help.