VPN الهاتف إلى المنزل: اجعل الجدار الناري مخرجك إلى الإنترنت

إن توصيل هاتف بنفق المنزل وفتح مشاركة ملفات على الشبكة المحلية يثبت أن النفق يعمل. لكنه لا يثبت أن طلبات الإنترنت من الهاتف تخرج عبر المنزل. الفرق بين النتيجتين هو سياسة تمرير زائد مسار، وليس مربع اختيار آخر على الهاتف. وهو أيضًا الفرق الذي يفترض معظم الناس أنهم أعدّوه بالفعل.

ثلاثة قرارات تُنتج مسار الخروج: ما يرسله الهاتف إلى النفق، وأين تمرّره بوابة المنزل، وما يحدث عندما لا يكون النفق موجودًا. لكل منها نمط فشل يبدو كالآخر من شاشة الهاتف.

قفزتان، سياستان

ينتهي الاتصال الخارجي عند مستمع VPN المنزلي. الحزمة الداخلية كائن منفصل لا بد من تمريره إلى مكان ما، والتمرير قرار جدار ناري مختلف عن قبول النفق في المقام الأول.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

على موجه منزلي نموذجي تعيش هذه في مجموعات قواعد مختلفة. قبول النفق هو سياسة إدخال على واجهة VPN؛ وإخراج حركة الهاتف إلى الإنترنت هو سياسة تمرير زائد أي ترجمة مصدر تحتاجها وصلة الرفع. الموجّه الذي يقبل النفق ولا يمرّر شيئًا يُنتج هاتفًا يظهر متصلًا ولا يحمّل أي صفحات.

إذا كانت خدمة VPN تعمل على جهاز منفصل داخل المنزل، فأضف قفزة. يرى الموجّه الآن حركة قادمة من ذلك الجهاز، لذا تنطبق قواعده على عنوان الخادم بدلًا من عنوان نفق الهاتف، ويمكن لترجمة المصدر أن تجعل كل هاتف يبدو كمضيف واحد.

المستمع ليس المُرشِّح

قرّر أين يحدث التنفيذ بينما المعلومات التي تحتاجها لا تزال موجودة. على الموجّه، عنوان نفق الهاتف مرئي ويمكن مطابقته مباشرة. خلف ترجمة ثانية يكون قد اختفى، والقواعد المكتوبة لعنوان الهاتف لا تطابق شيئًا بصمت.

هذا هو السبب المعتاد لنجاح سياسة مع الحاسوب المحمول وفشلها مع الهاتف. الحاسوب يتصل بالموجّه مباشرة، والهاتف يتصل بخادم يمرّر عبر الموجّه، والمسار الأول وحده يحفظ العنوان الذي تتوقعه القاعدة. القاعدة ليست خاطئة؛ إنها تطابق قيمة لم تعد موجودة عند تلك النقطة.

اكتب المسار مع عنوان المصدر كما يظهر عند كل نقطة تنفيذ. هذا المخطط الواحد يحلّ معظم هذه الحالات قبل تحرير أي قاعدة.

ما الذي يجب أن يرسله الهاتف فعليًا

الهاتف الذي يتلقى فقط مسارًا إلى الشبكة الفرعية المنزلية يرسل فقط حركة تلك الشبكة الفرعية إلى النفق. كل ما عدا ذلك يخرج عبر شبكة الهاتف المحمول، ولهذا تعمل مشاركة الملفات ولا تصل طلبات الإنترنت إلى المنزل أبدًا.

تغطية النفق الكامل قرار توجيه على جانب العميل، ويجب ضبطه بالآلية التي تدعمها المنصة لا افتراضه من الملف الشخصي الذي يتم تثبيته. وبعد ضبطه، يجب أن يبقى المسار عائدًا إلى خادم VPN نفسه خارج النفق، وإلا تعذّر على العميل الحفاظ على نقله الخاص.

يستحق DNS قرارًا خاصًا به، لأنه الجزء الأكثر عرضة للانحراف عن بقية الحركة. عنوان المُحلِّل في الملف الشخصي اقتراح تتعامل معه العملاء بشكل مختلف، والتطبيق الذي لديه مُحلِّل مشفّر خاص به يمكنه اتباع مسار منفصل تمامًا. إذا كانت سياسة المنزل تعتمد على وصول الاستعلامات إلى مُحلِّل معين، فطبّقها حيث تمرّ الحركة فعليًا، أو اقبل أن بعض الاستعلامات لن تفعل ذلك. الاستعلام الذي يتجاوز المُحلِّل الخاص بك لا يصل أبدًا إلى قاعدة كُتبت له.

ينتمي IPv6 إلى الفقرة نفسها التي ينتمي إليها DNS، لا إلى ملحق. النفق الكامل لـ IPv4 لا يقول شيئًا عن حركة AAAA، والهاتف على شبكة محمولة مزدوجة الحزمة سيستخدم المسار الأصلي لها بكل سرور. اختر الحمل أو الحجب صراحةً.

ما يمكن للجدار الناري رؤيته وما لا يمكنه

يمكن للبوابة أن تعمل على ما تكشفه نقطة تنفيذها: العناوين والمنافذ والبروتوكول والواجهة وبيانات الاتصال الوصفية. طلب HTTPS مُمرَّر لا يسلّم نص الصفحة أو كلمة المرور لمجرد أنه يعبر نفق المنزل.

هذا الحد يستحق الذكر لأن عبارة «مرّره عبر الجدار الناري» توحي بفحص أكثر مما يقوم به موجّه منزلي. قاعدة وجهة وسياسة DNS ووكيل طبقة تطبيق هي ثلاثة عناصر تحكم مختلفة بثلاث تكاليف نشر مختلفة.

لا تفترض أن ميزة أُعدّت لعملاء الشبكة المحلية المنزلية تنطبق على واجهة VPN. عضوية المنطقة خيار إعداد، وواجهة VPN ليست في المنطقة الصحيحة لا ترث أيًا من القواعد التي اختبرتها من الأريكة.

قرّر حالة الانقطاع

عندما يكون النفق غير متاح، إما أن يعود الهاتف إلى شبكة الهاتف المحمول أو يرفض إرسال الحركة. كلا السلوكين معقول، وواحد فقط منهما يطابق ما يعتقد معظم الناس أنهم أعدّوه.

العودة مريحة وتسرّب بحكم التعريف: لحظة سقوط النفق هي لحظة خروج الطلبات عبر مسار المشغّل. الحجب أقوى ويجعل الهاتف معتمدًا على إمكانية الوصول إلى المنزل، وهي تكلفة توافر حقيقية للمسافر. لا أحد السلوكين خطأ؛ كلاهما منتجان، وأنت تختار بينهما سواء قلت ذلك أم لا.

اختبر الخيار بدلًا من افتراضه. أوقف خدمة المنزل، ثم جرّب طلبًا واحدًا من متصفح الهاتف وآخر من تطبيق يعمل في الخلفية. إعادة الاتصال لاحقًا لا تلغي الطلبات التي خرجت بالفعل.

اختم بفحصين مضبوطين من الهاتف نفسه: عملية مسموح بها يجب أن تعبر المنزل، ورفضٍ يُفترض أن تفرضه سياسة المنزل. تأكد من أن البوابة سجّلت التدفق الذي توقعته، في عائلة العناوين التي توقعتها، بعد إعادة الاتصال. هاتف يظهر «متصل» هو بداية ذلك التحقق، وليس نهايته أبدًا.