النفق الكامل مقابل مسار نقطة النهاية: إبقاء خادم VPN قابلاً للوصول

أضف مساراً افتراضياً عبر النفق، وستتبعه حزم النفق نفسها. يحتوي الجدول عندئذ على قاعدة تهزم نفسها. يحاول الاتصال المشفّر بالخادم أن يسير داخل الاتصال الذي يحاول إنشاءه.

تمنع آليتان تلك الحلقة. إحداهما ظاهرة في جدول التوجيه، والأخرى تعيش داخل التطبيق.

حركة المرور الداخلية والخارجية قراران مختلفان

تدخل حزمة التطبيق الواجهة الافتراضية وتُغلَّف. النتيجة حزمة جديدة موجّهة إلى العنوان العام للخادم. تحتاج تلك الحزمة إلى مسار على الشبكة الفيزيائية، لأن لا شيء منها يجوز أن يدخل النفق.

كلاهما قرارا توجيه، وأولهما فقط ينتمي إلى النفق. عندما يثبّت العميل مساراً افتراضياً يغطي الخادم أيضاً، تُلتقط الحزمة الخارجية كذلك.

الأعراض فورية وكاملة. تكتمل المصافحة ثم لا يتدفق شيء، أو ينقطع الاتصال لحظة تثبيت المسار. في كلتا الحالتين لم يعد بإمكان نبضة الإبقاء الخروج.

الخيار الأول: مسار مضيف لنقطة النهاية

يضيف النهج المباشر مساراً لعنوان الخادم عبر البوابة الأصلية. يتطلب سطراً واحداً. وهو مرئي لأي شخص يقرأ الجدول. كما يسهل شرحه في سجل تغييرات.

يظهر ضعفه عندما يتغير المسار الأساسي. يسمّي المسار المحفوظ بوابةً وواجهة من الشبكة القديمة. بعد تبديل شبكة Wi-Fi قد لا تكون تلك البوابة موجودة، ويبقى المسار في مكانه، يبدو صحيحاً ولا يفعل شيئاً.

# before the tunnel: which path reaches the endpoint?
ip route get 198.51.100.7

# pin it through the current gateway
ip route add 198.51.100.7/32 via 192.168.1.1 dev wlan0

# after the tunnel is up, confirm the pin survived
ip route get 198.51.100.7

اسم المضيف يجعل هذا أصعب. إذا كانت نقطة النهاية اسماً يُحلّ إلى عدة عناوين، يجب أن يغطي الاستثناء العنوان المستخدم فعلاً. وقد يعيد بحث لاحق شيئاً لم يغطه المسار قط.

الخيار الثاني: حماية المقبس

النهج الآخر لا يمس جدول التوجيه أبداً. يضع العميل علامة على المقبس الذي يحمل النفق أو يحميه، فترسل نظام التشغيل حركة ذلك المقبس خارج النفق بحكم السياسة. يعرض Android الآلية مباشرة لتطبيقات VPN. وتنفّذ عملاء سطح المكتب نظائرها بعلامات جدار الحماية أو استدعاءات الربط بالجهاز.

الميزة أن الاستثناء يتبع الاتصال بدلاً من بوابة محفوظة. تغيير الشبكة يعيد كتابة المسار الأساسي، وينتقل المقبس المحمي معه لأنه لم يُثبَّت على عنوان قط. ويبقى جدول التوجيه نظيفاً.

الثمن هو الظهور. لا شيء في جدول التوجيه يُظهر الاستثناء، فالمدقق الذي يبحث عن مسار مضيف لا يجد شيئاً وقد يستنتج أن التصميم غير آمن. تعيش الحماية في تعليمات العميل وفي قواعد السياسة التي تثبّتها تلك التعليمات.

الاختيار بينهما

اختر آلية مستوى المقبس عندما يدعمها العميل، لأنها تصمد أمام تغييرات الشبكة التي تكسر المسار المثبَّت. واختر مسار المضيف عندما يجب أن يكون الاستثناء مرئياً لأدوات أخرى، أو عندما لا يقدّم العميل شيئاً أفضل.

لا تزيل أي من الآليتين الحاجة إلى أن يكون عنوان الخادم قابلاً للوصول أصلاً. للبوابة الخاصة عنوان مستمع عام، وهذا العنوان هو ما يجب أن يبقى خارج النفق. ولا تصبح الشبكات الداخلية خلفه قابلة للوصول إلا بعد وجود النفق.

أياً كان اختيارك، أبقِه مع المكوّن الذي يملك النفق. مسار المضيف الشارد المضاف يدوياً يعمل حتى الشبكة التالية، ثم يصبح انقطاع الغد الغامض.