الشبكة الفرعية للمعدات الخلفية مقابل VPN سطح المكتب: استثنِ العبور لا التطبيقات

جهاز واحد، مهمتان، جدار حماية واحد: وصلة رفع Wi-Fi، وشبكة Ethernet فرعية صغيرة خلفها، وعميل VPN لسطح المكتب يفترض أن كل ما يغادر الجهاز محلي. التطبيقات التي تُشغَّل محليًا تغادر عبر مسار المخرجات المحلي. أما الأجهزة الواقعة خلف محطة العمل فتصل عبر منفذ Ethernet وتحتاج قرار إعادة توجيه. الاستثناء المكتوب للمسار الأول لا يرى الثاني أبدًا، ولهذا يتجاوز المتصفح النفق بينما لا تتجاوزه الأجهزة.

مساران للحزم، سياسة واحدة

الصف الأول هو ما تصفه معظم أدلة التوجيه الانتقائي. أما الثاني فهو إعداد موجّه يقع مصادفةً على الجهاز نفسه. دمج الاثنين في نموذج ذهني واحد هو الخطأ؛ فهما يتشاركان النواة لا السياسة. ارسم المسارين قبل تعديل أي قاعدة، وسيتبع بقية التصميم من معرفة المسار الناقص.

يشرح الجدول أيضًا كيف يمكن لجهاز واحد أن ينجح في اختبار ويفشل في آخر. المتصفح على محطة العمل يثبت المسار المحلي؛ والحاسوب المحمول الموصول بمنفذ Ethernet يثبت مسار إعادة التوجيه. اختبر أي تغيير بكليهما، وإلا بقي الثاني بلا اختبار مهما أُعيد تحميل المتصفح.

ما يصنّفه استثناء التطبيق فعليًا

استثناء لكل تطبيق يعمل عادةً عبر وسم الحزم الصادرة من عملية أو مستخدم، ثم توجيه الحركة الموسومة خارج النفق. هذا بناء خاص بالمخرجات المحلية. الحزمة القادمة من جهاز خلفي ليس لها عملية محلية، لذا لن تطابق المحدِّد أبدًا، أيًّا كان المحدِّد.

أيًّا كان المحدِّد، فالقائمتان ليستا القائمة نفسها، وهذا هو المقصود كله. يصف دليل Mullvad لنظام Linux علامات تستهلكها جدار الحماية وسياسة التوجيه فيه، وأمثلته تستهدف المخرجات المحلية؛ وليست وصفًا مدعومًا لموجّه خلفي. نسخها ينتج جهازًا يظن أن لديه استثناءً بينما يمرّر كل شيء إلى النفق.

اكتب عقد العبور

سمِّ بادئة المصدر الخلفية وواجهة الدخول معًا، ثم قيّد تلك البادئة عند الدخول. بدون هذا التقييد، يمكن لأي جهاز يصل إلى المنفذ أن يدّعي عنوانًا مستثنى ويغادر عبر التجاوز. تعامل مع الأمر كسؤالين: هل يُسمح لهذه المضيفات باستخدام وصلة الرفع هذه أصلًا، وهل يُسمح لها بالوصول إلى محطة العمل أو النطاقات الخاصة في النفق؟ هذان إذنان إضافيان، وليسا أثرًا جانبيًا لاختيار وصلة الرفع.

اسمح بإعادة التوجيه ثم رشّحه. تحتاج بوابة Linux إلى تفعيل إعادة التوجيه، وقواعد تسمح بالحركة المقصودة في الاتجاهين، وإما مسار عودة علوي وإما ترجمة مصدر محدودة النطاق عن قصد. لا يختار NAT وحده وصلة الرفع ولا يمنح المرور عبر مرشّح؛ إنه يعيد كتابة عنوان فقط بعد تلك القرارات.

يجب أن يحدث تصنيف العبور قبل قرار مسار إعادة التوجيه، أي في مرحلة prerouting لا في output. القاعدة الموضوعة بعد القرار يمكنها تغيير الحزمة، لكنها لا تستطيع تغيير المكان الذي أُرسلت إليه الحزمة فعلًا.

العلامات ملك للتطبيق الذي يملكها

قيم العلامات وأرقام الجداول وأولويات السلاسل جزء من سياسة تطبيق VPN، وليست ثوابت دائمة. الشبكة التي تعتمد على إدخال قاعدة في جدول يعيد برنامج آخر توليده ستنهار عند التحديث التالي، عادةً أثناء إعادة الاتصال لا في وقت مناسب.

إضافة سلسلة أساس ثانية بحكم accept لا تتجاوز بالضرورة حكم drop في سلسلة لاحقة. لسلاسل الأساس خطافات وأولويات، والحكم الأول في الترتيب هو الذي يفوز؛ وaccept في سلسلة لا يلغي drop تصل إليه سلسلة أخرى أولًا. انظر إلى مجموعة القواعد الكاملة وترتيب سياسة التوجيه، لا إلى العدّاد الوحيد الذي ازداد. العدّاد يثبت أن قاعدة نُفِّذت، لا أن حكمها هو الذي طُبِّق.

ادمج، أو انقل الشبكة الفرعية

يختلف التصميمان فيمن يملك التجاوز. التصميم المدمج يبقي جهازًا واحدًا وسياسة واحدة، على حساب اعتماده على دورة حياة الجداول في تطبيق VPN وعلى مجموعة علامات قد تتغير وثائقه. الموجّه المخصص للشبكة الخلفية يزيل هذا الاعتماد كليًا: للشبكة الفرعية وصلة رفع خاصة، وتبقى محطة العمل عميلًا بلا دور إعادة توجيه.

اختر الثاني عندما يجب أن تبقى الشبكة الخلفية عاملة عبر تحديثات VPN، أو عندما لا يستطيع أحد اختبار السياسة المدمجة بعد كل إصدار. اختر الأول فقط عندما تكون عملية الدمج موثقة وهناك من يملكها.

تحقق من الحد في أربع حالات: متصل، وإعادة اتصال، ومحجوب عمدًا، ومتوقف. افحص تحليل الأسماء وعائلتي العناوين في كل حالة، لأن تجاوزًا يسرّب DNS ليس الاستثناء الذي صممته. يجب أن يثبت الاختبار الحد الدقيق، لا مجرد تحميل صفحة واحدة.