UniFI側でGoogle HomeのGoogle DNSを別の宛先に書き換える

NATテーブル溢れ対策の第三弾です。前回はTailscaleの通信を削減しましたが、今回はGoogle Homeの通信を対策します。

NATテーブル溢れ対策

最近インターネットの調子が悪い。しょっちゅう通信が詰まる。通信が詰まっても数十秒で復帰するのですが、日に何度も発生しておりかなり困っています。 10GルーターUbiqiti Dream Machine Proを購入した 前回の記事で10G回線導入に向けてUbiquiti Dream Machine Proを購入しました。 自宅の10G回線を検討する 今回の記事は下記記事の続きです。 令和5年最新版 自宅ネットワークまとめ これから自宅のネットワーク環境の話をするときに今住んでいる物件の現況をここで纏めようと思います。 部屋探し 現在のマンションのネットワーク構成を話す前にどういう視点で部屋を探したかを話します。 コロナ禍での引越にあたり下記条件を不動産屋さんに提示して家探しをお願いしました。 ■絶対条件 NTTの光を独自に引ける 40A以上の電源契約が可能 各部屋に1つ以上壁コンセントにアースが来てる ■あると嬉しい条件 NTT以外のファイバーを引ける（NUROなど） 各部屋に有線LANコンセントがある もちろんこれ以外にも居住にあたっての条件はありましたが割愛いたします。 今回は10G回線導入に向けてどこの回線事業者と契約するか、宅内のルーターをどうするか検討します。なお最終的に10G回線を契約しなかったためこの記事はポエムです。 今回は設置作業を行います。 自宅ではUbiquiti Dream Machine Pro（UDM）をルーターとして利用しています。UDMではWANを2系統用意できるため、片方の回線で障害が発生したときに別の回線を利用できます。通信が詰まる時間は数十秒ですが、この機能により主回線 → 副回線にフォールバックしてその後に主回線に復帰するまで1分程度通信が詰まります。

Tailscaleで利用するDERPサーバーのリージョンを制限する

NATテーブル溢れ対策 最近インターネットの調子が悪い。しょっちゅう通信が詰まる。通信が詰まっても数十秒で復帰するのですが、日に何度も発生しておりかなり困っています。 10GルーターUbiqiti Dream Machine Proを購入した 前回の記事で10G回線導入に向けてUbiquiti Dream Machine Proを購入しました。 自宅の10G回線を検討する 今回の記事は下記記事の続きです。 令和5年最新版 自宅ネットワークまとめ これから自宅のネットワーク環境の話をするときに今住んでいる物件の現況をここで纏めようと思います。 部屋探し 現在のマンションのネットワーク構成を話す前にどういう視点で部屋を探したかを話します。 コロナ禍での引越にあたり下記条件を不動産屋さんに提示して家探しをお願いしました。 ■絶対条件 NTTの光を独自に引ける 40A以上の電源契約が可能 各部屋に1つ以上壁コンセントにアースが来てる ■あると嬉しい条件 NTT以外のファイバーを引ける（NUROなど） 各部屋に有線LANコンセントがある もちろんこれ以外にも居住にあたっての条件はありましたが割愛いたします。 今回は10G回線導入に向けてどこの回線事業者と契約するか、宅内のルーターをどうするか検討します。なお最終的に10G回線を契約しなかったためこの記事はポエムです。 今回は設置作業を行います。 自宅ではUbiquiti Dream Machine Pro（UDM）をルーターとして利用しています。UDMではWANを2系統用意できるため、片方の回線で障害が発生したときに別の回線を利用できます。通信が詰まる時間は数十秒ですが、この機能により主回線 → 副回線にフォールバックしてその後に主回線に復帰するまで1分程度通信が詰まります。 上記記事の続きです。

現状確認

第1弾の対策記事でGoogle HomeのGoogle DNSリクエストの数の多さについて言及しました。

すべてがDNS通信ではなく、Google Homeから通信すべてをカウントしたものですが24時間で各デバイス7千〜1万回の通信が行われています。この通信数は内部宛の通信もカウントしていますが、宅内メインのNASより多い通信数をしていて異常とも言える通信数です。

1分に1回程度Google DNSへのアクセスが行われており、DHCPで別のDNSサーバーを配信してもかたくなにGoogle DNSへのアクセスを行います。今回はこの通信を無理矢理宅内のDNSサーバーへ書き換える事で通信数を削減します。

UniFi Dream Machineの設定

現在、ルーターはUniFi Dream Machine（以下、UDM）を利用しています。DHCPでのDNSサーバーはUDM宛のxxx.xxx.xxx.254に設定しています。UDMからはオンプレしているAdGuard Homeに問い合わせています。

今回はUDM側のNATでGoogle DNSへのアクセスをUDM宛として書き換え、最終的にはAdGuard Homeに問い合わせるようにします。

UDM側で設定からポリシーを新規作成します。ポリシーの設定は下記の画像を参考に設定してください。

種類はDest.NATを選択します。Interfaceは今回対象としたいIoT用のVLANを指定しています。セキュリティが脆弱になりやすいIoTデバイスをVLANを分けてネットワーク分離を行っています。今回指定するオンプレのDNSサーバーと同じVLAN内にある場合はSourceの設定を正しくしないとすべてのDNS通信がループしてしまうので注意してください。

Translated IP AddressはIoT VLANのルーターのIPを指定しました。IoTネットワークからServerネットワークへの接続は弾いているのでルーター宛に指定してルーター側がオンプレDNSに問い合わせるようにします。

Sourceは今回はVLAN内のIoTデバイスすべてを対象として問題なにのでAnyに指定しています。

DestinationはIPのListとして8.8.8.8と8.8.4.4を指定しています。ポートは53単体で良いのですがIPをListにするとポートもListにしないと設定できなかったのでポートもListで設定しています。

動作確認

動作確認のためにAdGuard HomeでDNS書き換え設定を追加します。今回はudm.ynr.jpでルーターのIPを引けるように設定しました。

これでIoT用のVLANにスマホを接続してDNSの設定を8.8.8.8に設定します。その状態でudm.ynr.jpにアクセスしてルーターの管理画面が見られれば動作確認OKです。

この設定を行ってもUDMのInsight上ではGoogle DNSのアクセスログは減少しませんでした。

しかしAdGuard Homeのクエリ数は合計4万回ほど24時間で増えましたし、NATテーブル不足もより起こりづらくなったので無事対策はできていると思います。

自宅には4台のGoogle Homeがありますが4台で24時間4万回もDNSが叩かれるのはどうにかならないものかと思います……複数台のGoogle Homeがあれば同期して音楽を流せるのでこの機能で自宅内どこにいても音楽が聞こえて良いなーと思っているのですがこの通信量をだと端末数を増やせないので困りものです……