feat(dns): blocky を tailnet アドレスでも待ち受ける (#599)

tailnet の DNS 設定からこの解決器を指すため。今は loopback と LAN にしか
出ていないので、外出先の端末は家の blocky を引けず、広告遮断も内向きの
gapul.net も効かない。

homeserver は tailscale0 が blocky より後に上がるので、非ローカルアドレスへの
bind を許して起動順に依存しないようにする。macmini に同等の sysctl は無いため、
launchd の再試行で吸収する。

Author: gapul

nix/homelab/blocky.nix

@@ -15,13 +15,23 @@
   # リゾルバだった。
   services.blocky = {
     enable = true;
-    # ループバックとこの機械自身のアドレスだけ。podman のブリッジが aardvark-dns の
-    # ために :53 を要る。AdGuard が踏んだのと同じ衝突。
+    # ループバックとこの機械自身のアドレスだけ。0.0.0.0 にはできない: podman の
+    # ブリッジが aardvark-dns のために :53 を要る。AdGuard が踏んだのと同じ衝突。
+    #
+    # tailnet アドレスも足してある。tailnet の DNS 設定からこの解決器を指すため
+    # で、これが無いと外出先の端末は家の blocky を引けない (広告遮断も
+    # gapul.net の内向き解決も効かない)。
     settings = import ../lib/blocky-settings.nix {
-      listen = "127.0.0.1:53,192.168.116.98:53";
+      listen = "127.0.0.1:53,192.168.116.98:53,100.127.129.31:53";
     };
   };
 
+  # tailscale0 は blocky より後に上がる。tailnet アドレスを名指しで待ち受ける以上、
+  # 起動順で「まだ存在しないアドレスに bind できない」で落ちうるので、非ローカル
+  # アドレスへの bind を許す。After= で順序を付ける手もあるが、tailscaled が
+  # 再接続でアドレスを付け直す局面まではカバーできない。
+  boot.kernel.sysctl."net.ipv4.ip_nonlocal_bind" = 1;
+
   # 53 番は Blocky のもの。このホストでは他の何にも渡さない。
   services.resolved.enable = false;
 

nix/hosts/macmini-dns.nix

@@ -20,9 +20,12 @@
 let
   # このホストの LAN アドレス。ルーターの DHCP 予約で固定してある。
   lanAddress = "192.168.116.100";
+  # tailnet アドレス。tailnet の DNS 設定はこちらを指す (外出先の端末は LAN の
+  # アドレスに届かない)。Tailscale のアドレスは機械ごとに固定。
+  tailnetAddress = "100.105.135.49";
 
   settings = import ../lib/blocky-settings.nix {
-    listen = "127.0.0.1:53,${lanAddress}:53";
+    listen = "127.0.0.1:53,${lanAddress}:53,${tailnetAddress}:53";
   };
 
   # blocky は YAML を読む。JSON は YAML の部分集合なので、そのまま渡せる。
@@ -51,8 +54,11 @@ in
     serviceConfig = {
       ProgramArguments = [ "${launch}" ];
       RunAtLoad = true;
+      # 起動時に tailnet のアドレスがまだ付いていないと bind に失敗して終了する。
+      # launchd が 30 秒おきに起こし直し、Tailscale が上がった時点で成功する。
+      # Linux 側の ip_nonlocal_bind に当たるものが macOS には無いので、順序ではなく
+      # 再試行で吸収する。
       KeepAlive = true;
-      # 上流が落ちている間に再起動を繰り返しても意味がないので少し置く。
       ThrottleInterval = 30;
       StandardOutPath = "/var/log/blocky.log";
       StandardErrorPath = "/var/log/blocky.log";