How to прописать split DNS для subnet router в Tailscale?

Question

[Eugenius Kostrubinas]

Ситуация:
В домашней сети есть основной роутер, пусть 10.10.10.1
За ним -- саб-сеть 20.20.20.0/24, где висят всякие IoT, в том числе камеры (от YI).
После танцев с бубном и запуска subnet router в подсети все видно извне, все работает.
Но. Эти чертовы камеры в гробу видели и DHCP address reservation, и IP and MAC binding. Прописать в них самих Static IP -- никак. Посему после lease expire получам черт-те какой IP, ищем, подключаемся ручками.
Вопрос:
Как запустить свой мелкий DNS? Где кого и как назвать, чтобы обращение к камерам было типа rtsp://camer001.local/channel1? И мне стало бы квадратно какой там IP.

Comments

[Rsa97]

Эти чертовы камеры в гробу видели и DHCP address reservation, и IP and MAC binding.

Так это и не задача клиентов (камер). Такой биндинг настраивается на DHCP-сервере. Клиент же не сам придумывает себе IP-адрес (хотя и может, из сети 169.254.0.0/16), а получает его от сервера. И если сервер по MAC камеры выдаёт ей один и тот же IP, то камере другой адрес взять неоткуда.

[Valentin Barbolin]

Эти чертовы камеры в гробу видели и DHCP address reservation, и IP and MAC binding. Прописать в них самих Static IP -- никак

Одно противоречит другому, где-то ты не досмотрел настройки.

[Eugenius Kostrubinas]

Знаю, да, что противоречат. Пробовал просто через все дырки. Камеры YI после старта игнорируют всех и вся. А хак yi_hack_v5 с github'а недописан. Точнее, автор не лез внутрь китайских происков. И я не стану, -- если китайцы найдут, то могут закирпичить, и на такое народ жаловался в предыдущих версиях. Потому что если сбросить ресетом почему-либо, то сеанс перезапуска только через связь с серваком YI.

[Eugenius Kostrubinas]

Rsa97,
В теории и в нормальной практике, -- да. YI игнорирует (или требует в цикле, пока ей не "понравится" - я не знаю), проверено неоднократно с разными экземплярами этих камер, на разных роутерах.

UPD: как это просходит я увидел (забыл упомянуть): камера (не роутер!) меняет или старшие или младшие 6 байт MAC. А доступа туда у меня нет. Или пока нет. Поэтому subnet router от tailscale решает проблему.

[Rsa97]

Eugenius Kostrubinas, Тогда советую посмотреть на 4pda, возможно для вашей камеры есть неофициальные прошивки получше.

[Eugenius Kostrubinas]

Спасибо, гляну. На github уже везде пошуршал.

[VoidVolker]

меняет или старшие или младшие 6 байт MAC. А доступа туда у меня нет

А у этих камер нет поддержки ipv6 случаем? DUID/IAID они отдают? Попробуйте получить детальную информацию о девайсах. Если отдают и не меняют — то можно к ним привязывать IP, а не к маку. Вот только обычно в роутерах в DHCP нет такой фичи. В pi-hole — не знаю есть или нет.

[Eugenius Kostrubinas]

Согласно Net Analiser (тот, который запретил апгрейдить, чтобы видеть MAC'и) ipv6 = n/a.
DUID/IAID -- не знаю что это.

Кстати, а wildcard типа '*' или '?' TP-Link в какой-нибудь форме в MAC поддерживает?

Answer 1

[VoidVolker]

Если ваш роутер не справляется или там не хватает настроек, то ставьте свой DHCP/DNS сервер на какую-то машину или роутер, если там линукс. Например Pi-hole.

Comments

[Eugenius Kostrubinas]

Он может крутиться в том же железе, что и subnet router?

[VoidVolker]

Eugenius Kostrubinas, теоретически в любом линуксе оно будет работать. На арме точно работает.

[Eugenius Kostrubinas]

Я про то, что они будут крутиться в одном IP. Если нет проблем, то нет проблем )))
Спасибо за идею.

[VoidVolker]

Eugenius Kostrubinas, на какой IP его привяжете — на том оно и будет работать, как и любое ПО. Главное, согласуйте работу с вашим текущим DHCP — либо отключите его, либо разграничьте сетками/подсетками, чтобы не было конфликтов. А то два DHCP в сети — это очень весело =)

[Eugenius Kostrubinas]

Вот мы и вернулись к исходному вопросу )))

То есть (почитал про пи-дырку) ставлю свой DNS, обзываю его сеть, вырубаю DHCP на роутере сабсети, врубаю DHCP в pi-hole (варианта PiHole тырнет не знает) на тот же диапазон IP и пытаюсь зайти на /camera01.subnet ?

[VoidVolker]

Eugenius Kostrubinas, верно, только ещё настраиваете для каждой камеры статический IP адрес по маку и домен в настройках DHCP/DNS pi-hole, меняете DNS сервер в вашей сети на pi-hole, а так же включаете в нём вышестоящие DNS сервер/серверы — ваш роутер или другие ваши любимые DNS сервера.
Кстати, есть отличные программные роутеры: OPNSense и pfSense — первый форк второго с полностью открытым кодом, второй — частично. Оба — на фряхе.

[Eugenius Kostrubinas]

Они лучше pi-hole?

И да, вопрос немного шире:

На самом деле вся сеть такая:
Модем 100.100.100.1 (выключен роутинг и DHCP, статически гонит из WAN в LAN в единственный порт на роутер. В нем DNS он сам плюс 8.8.8.8 и 8.8.4.4.
Роутер, со стороны модема статически 100.100.100.2, делает всю сеть 10.10.10.0/24 LAN, WiFi 5+2.4, DHCP включен, но есть немало статичных концов, например основной NAS.
На одном из его портов висит саброутер 20.20.20.0/24, который разгоняет IoT во дворе по WiFi 2.4, камеры здесь. И проводом соединен со вторым малым, старым NAS WD MyCloud EX2 Ultra, который на BusyBox (ядро 4.х.х) и там закручен subnet router для tailscale. Это потому, что в камеры tailscale не лезет и пришлось делать advertised routes.

Вот где в этом всем должен быть pi-hole? В том же малом NAS?

[VoidVolker]

Eugenius Kostrubinas,

Они лучше pi-hole?

Сравнение не применимо — это несколько разные вещи. Если хотите собрать свой роутер и иметь полный контроль над сетью — лёгкий мини-ПК с двумя портами и OPNSense/pfSense внутри, плюс обычный тупой свич для всех остальных железок (или мини-ПК с пачкой портов и чуть более мощным процессором для перегона трафика между портами).

Вот где в этом всем должен юыть pi-hole? В том же малом NAS?

Вполне можно и в основной сети NAS и в подсети. Второй роутер в режиме NAT или точки доступа? Зачем несколько разных сетей?

Модем
|-- Ротуер 1
    |-- NAS 1
    |-- Роутер 2 (IoT)
        |-- NAS 2
            |-- subnet router для tailscale
        |-- Камеры 1..N

Получается что-то типа такого?

[Eugenius Kostrubinas]

VoidVolker,
Спасибо, понял, что вторые опции это роутеры, а не чисто DNS.

У меня хороший TP-Link C80 на этом этаже и там все пучком.
А второй роутер (схема да, правильная) был AP, но я не хочу раздавать в tailscale всю сеть, но только камеры, которые во дворе, и он переведен в обычный WAN (от первого) в sub-LAN, и подсеть WiFi с другим SSID.
Tailscale как subnet router крутится внутри NAS 2. Вот в него-то, видимо и надо запихать pi-hole, чтоб на основную сетку не влиял. Там все работает хорошо, ад-блок мне вроде как не нужен.

[VoidVolker]

Eugenius Kostrubinas, ага, это полноценные фаерволлы с кучей плюшек. В вашем случае минимум — это DHCP в паре с DNS, чтобы связать MAC, IP и домен. Я, правда, ни разу не использовал DHCP в pi-hole — чисто как DNS, но в принципе оно там должно работать без проблем.

А второй роутер (схема да, правильная) был AP, но я не хочу раздавать в tailscale всю сеть, но только камеры, которые во дворе, и он переведен в обычный WAN (от первого) в sub-LAN, и подсеть WiFi с другим SSID.
Tailscale как subnet router крутится внутри NAS 2. Вот в него-то, видимо и надо запихать pi-hole, чтоб на основную сетку не влиял. Там все работает хорошо, ад-блок мне вроде как не нужен.

Ну, вообще, чисто теоретически, можно единый DHCP/DNS запустить в первой сети, в нём же настроить адрес и сеть для второго роутера и раскидывать девайсы по сетям и с правильными шлюзами. Но опять же — я не знаю какой там именно есть функционал в DHCP сервере в pi-hole. В тех же сенсах можно и полноценные VLAN делать и ещё кучу всяких вещей. Так что если функционала обычного роутера будет не хватать — рекомендую посмотреть в сторону OPNSense на отдельной машине типа мини-пк (можно, конечно и в виртуалку — но тогда учитывайте дополнительные расходы производительности на сеть).
А так да — если второй роутер в режиме роутера с NAT, то и pi-hole ставить надо на второй NAS и, соответственно на этом роутере выключить DHCP.

[Eugenius Kostrubinas]

Спасибо.

Не стану заморачивать возможного наследника системы непонятками и сделаю именно так. )))

Результат сообщу. Возможно даже завтра. Если pi-hole развернется в старом BusyBox.

Если она не встанет, то достану из шкафа один из arm64 (Rock Pi) и впихну туда Debian cli на минималках.

[VoidVolker]

Eugenius Kostrubinas, посмотрите в сторону Armbian — там как раз ещё всякие оптимизации под МК и даже есть возможность установки загрузчика отдельно от основной системы и втыкивания куда угодно как загрузчика, так и ОС. Так что грузиться можно с emmc/sd, а систему ставить на USB диск.

[Eugenius Kostrubinas]

Вот-вот )))

Это то, почему они в шкафу. Загрузчик с emmc может нарисовать yellow submarine в углу экрана с надписью U-BOOT и дальше -- все. При полностью исправных чипах и картах раз запишется и встанет, раз -- нет. Boot чем-то убивается при первой загрузке, либо нет.

Меня достали разбежки железа и Armbian (я остановился в развитии на, по-моему 24.х) и собрал (make) свое ядро. [на моем супер-друпер дестопе на VM Ubuntu в Win 10 ядро пилилось 11 минут, когда остальные хвалились двумя часами]. Тогда все поехало. Это был NAS, с настоящим PCIe для arm64 (Penta HAT), с SATA 6.
А потом два события вернули NAS в Intel. OMV 7 не ставился как апгрейд и все надо было поднимать с нуля. И жене поменял комп на i14 многогигаГерц. Оставшийся нехилый i5 с 32-мя RAM закрутил NAS за полчаса и идея танцев вокруг Armbian отсохла естественным порядком.

При этом, в порядке эксперимента, ставил Debian 11 Desktop прямо на emmc (чип 64 ГБ), и все летало так, что 4-ая малинка нервно курила. Какое-то время внуки сидели на этом в Youtube. Пока в врмию не ушли (в израильскую, если что).

А если поставлю cli, то там вообще риалтайм можно запускать. Мне ведь ни десктоп, ни что другое в pi-hole не надо, раз есть web окошко.

[Eugenius Kostrubinas]

VoidVolker,
Итак, сделано. На соседний порт с NAS с tailscale subrouter повешен pi-hole на arm64. Armbian без десктопа глючил, был потерт. Debian 12 с KDE (чистый cli под свой arm не нашел, генерить в лом) пошел на ура. После конфигурирования перерубил в multi-user.default и десктоп мирно спит в ячейках emmc. Кстати, KDE юзал впервые и очень зашло. Наброшу на рабочий комп, 100%
Пришлось запустить DHCP в pi-hole -- старенький роутер не умеет в нужное, не сочетается должным образом. И подстроен DNS tailscale, достаточно неожиданно: надо было врубить "Override DNS servers" и вырубить "split DNS." Нелогично, но так я вижу все, прописанное в клиентах pi-hole по именам host'ов.
Собственно, все. Камеры видны всегда и везде, и только для фамилии. Где-то в Китае плачут серваки, собиравшие с них свои big data.