embeddevio/awg-dash
1
0
Fork 0
Code Issues 40 Pull Requests 3 Actions Packages Projects Releases Wiki Activity

Sprint 1: DNS-based split-tunnel (dnsmasq + ipset, защита от DNS-утечки) #26

New Issue
Open
opened 2026-10-21 23:24:29 +03:00 by embeddevio · 0 comments
embeddevio commented 2026-10-21 23:24:29 +03:00
Owner
Copy Link
Copy Source

Owner: backend · Est: 8 SP · P1 · Sprint 1 · Deps: #24 · Refs #15

  • Встроенный dnsmasq: ipset по доменам (домены → ipset для MARK), upstream-форвардинг, кэш, TTL.
  • Защита от DNS-утечки: перехват :53 от LAN-клиентов на dnsmasq шлюза (иначе DNS-split не работает при ручных DNS на клиентах).
  • Обновление ipset по TTL/расписанию, обработка CNAME и доменов с динамическими IP; лимиты на кол-во доменов и размер набора.

AC:

  • GIVEN домен в списке, WHEN клиент из LAN его резолвит, THEN его A-записи попадают в ipset и трафик идёт в VPN.
  • GIVEN клиент использует внешний DNS (1.1.1.1), WHEN он резолвит домен из списка, THEN его трафик в VPN всё равно попадает (перехват :53).
  • GIVEN домен с CNAME, WHEN TTL истёк, THEN набор обновляется без рестарта dnsmasq/контейнера.

DoD: coverage ≥70%, CI green, ревью владельца роли.

**Owner:** backend · **Est:** 8 SP · **P1** · **Sprint 1** · **Deps:** #24 · Refs #15 - Встроенный dnsmasq: ipset по доменам (домены → ipset для MARK), upstream-форвардинг, кэш, TTL. - Защита от DNS-утечки: перехват :53 от LAN-клиентов на dnsmasq шлюза (иначе DNS-split не работает при ручных DNS на клиентах). - Обновление ipset по TTL/расписанию, обработка CNAME и доменов с динамическими IP; лимиты на кол-во доменов и размер набора. AC: - GIVEN домен в списке, WHEN клиент из LAN его резолвит, THEN его A-записи попадают в ipset и трафик идёт в VPN. - GIVEN клиент использует внешний DNS (1.1.1.1), WHEN он резолвит домен из списка, THEN его трафик в VPN всё равно попадает (перехват :53). - GIVEN домен с CNAME, WHEN TTL истёк, THEN набор обновляется без рестарта dnsmasq/контейнера. DoD: coverage ≥70%, CI green, ревью владельца роли.
embeddevio added this to the Sprint 1 — Ядро шлюза: tunnel / routing / GeoIP / DNS milestone 2026-10-21 23:24:29 +03:00
embeddevio added the backendstatus/backlog labels 2026-10-21 23:24:29 +03:00
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
backend
Backend related work
 blocker
Blocking issue
 devops
Infra and deployment
 epic
Large feature or project
 frontend
Frontend related work
 hotfix
Urgent hotfix
 qa
Testing and QA
 release
Release request
 status/backlog
Kanban: не начато / бэклог
 status/blocked
Kanban: заблокировано, нужна эскалация
 status/in-progress
Kanban: в работе (есть ветка/PR)
 status/ready
Kanban: готово к работе, есть AC и зависимости
 status/review
Kanban: на ревью/QA
No Label backend status/backlog
Milestone
No items
No Milestone Sprint 1 — Ядро шлюза: tunnel / routing / GeoIP / DNS
Projects
Clear projects
No project
Assignees
Clear assignees
embeddevio
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: embeddevio/awg-dash#26
Delete Branch "%!s()"

Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?