Aşağı axın alt şəbəkəsi və masaüstü VPN: tranziti istisna et, tətbiqləri yox

Bir maşın, iki iş, bir firewall: Wi-Fi yuxarı kanalı, onun arxasında kiçik Ethernet alt şəbəkəsi və maşından çıxan hər şeyin yerli olduğunu güman edən masaüstü VPN müştərisi. Yerli işə salınan tətbiqlər yerli çıxış yolu ilə çıxır. İş stansiyasının arxasındakı cihazlar Ethernet portuna gəlir və yönləndirmə qərarına ehtiyac duyur. Birinci yol üçün yazılmış istisna heç vaxt ikincini görmür və buna görə brauzer tuneldən yan keçir, cihazlar isə yox.

İki paket yolu, bir siyasət

Birinci sətir əksər split-tunneling təlimatlarının təsvir etdiyidir. İkincisi təsadüfən həmin maşında yerləşən marşrutlaşdırıcı konfiqurasiyasıdır. Onları bir zehni modeldə birləşdirmək səhvdir; onlar nüvəni paylaşır, siyasəti yox. Hər hansı qaydanı redaktə etməzdən əvvəl iki yolu da çək və dizaynın qalanı hansı yolun çatışmadığından çıxır.

Cədvəl həm də izah edir ki, bir maşın bir testi keçib digərini niyə keçə bilmir. İş stansiyasındakı brauzer yerli yolu sübut edir; Ethernet portuna qoşulmuş noutbuk yönləndirmə yolunu sübut edir. Dəyişikliyi hər ikisi ilə yoxla, əks halda brauzer nə qədər yenilənsə də ikinci yol sınanmamış qalır.

Tətbiq istisnası əslində nəyi təsnif edir

Tətbiq başına istisna adətən prosesin və ya istifadəçinin paketlərini işarələməklə işləyir; sonra işarələnmiş trafik tuneldən kənara yönləndirilir. Bu, yerli çıxış konstruksiyasıdır. Aşağı axın cihazından gələn paketin yerli prosesi yoxdur, ona görə seçicinin nə olduğundan asılı olmayaraq o, seçiciyə heç vaxt uyğun gəlmir.

Seçici nə olursa olsun, iki siyahı eyni siyahı deyil və bütün məsələ bundadır. Mullvad Linux təlimatı firewall və marşrutlaşdırma siyasətinin istifadə etdiyi işarələri təsvir edir və nümunələri yerli çıxışa yönəlmişdir; onlar aşağı axın marşrutlaşdırıcısının dəstəklənən təsviri deyil. Onları köçürmək, hər şeyi tunelə yönləndirdiyi halda özünü istisnası olan maşın hesab edən nəticə verir.

Tranzit müqaviləsini yaz

Aşağı axın mənbə prefiksini və giriş interfeysini birlikdə adlandır, sonra həmin prefiksi girişdə məhdudlaşdır. Məhdudiyyət olmadan porta çata bilən istənilən cihaz istisna edilmiş ünvanı iddia edib keçiddən çıxa bilər. Bunu iki sual kimi qəbul et: bu hostlar ümumiyyətlə bu yuxarı kanaldan istifadə edə bilərmi və iş stansiyasına və ya tunelin özəl aralıqlarına çata bilərmi? Bunlar əlavə icazələrdir, yuxarı kanal seçiminin yan təsiri deyil.

Yönləndirməyə icazə ver, sonra onu filtrlə. Linux şlüzü aktiv yönləndirmə, nəzərdə tutulan trafikə hər iki istiqamətdə icazə verən qaydalar və ya yuxarı axın qayıdış marşrutu, ya da qəsdən məhdudlaşdırılmış mənbə çevrilməsi tələb edir. NAT tək başına yuxarı kanalı seçmir və filtrdən keçid vermir; o, yalnız bu qərarlardan sonra ünvanı yenidən yazır.

Tranzit üçün təsnifat yönləndirmə marşrutu qərarından əvvəl baş verməlidir, yəni output deyil, prerouting mərhələsində. Qərardan sonra yerləşdirilən qayda paketi hələ də dəyişə bilər, lakin paketin artıq göndərildiyi yeri dəyişə bilməz.

İşarələr onlara sahib olan tətbiqə aiddir

İşarə dəyərləri, cədvəl nömrələri və zəncir prioritetləri VPN tətbiqinin siyasətinin hissəsidir, əbədi sabitlər deyil. Başqa proqramın yenidən yaratdığı cədvələ qayda daxil etməkdən asılı olan davamlı şəbəkə növbəti yeniləmədə pozulacaq, adətən əlverişli vaxtda deyil, yenidən qoşulma zamanı.

accept hökmü ilə ikinci əsas zəncir əlavə etmək sonrakı zəncirin drop hökmünü mütləq üstələmir. Əsas zəncirlərin qarmaqları və prioritetləri var və sıralamada ilk hökm qalib gəlir; bir zəncirdəki accept, başqa zəncirin ilk çatdığı drop hökmünü ləğv etmir. Artan tək sayğaca deyil, tam qaydalar toplusuna və marşrutlaşdırma siyasətinin sırasına bax. Sayğac qaydanın işlədiyini sübut edir, heç vaxt onun hökmünün tətbiq olunduğunu deyil.

Birləşdir, ya da alt şəbəkəni köçür

İki dizayn keçidə kimin sahib olması ilə fərqlənir. Birləşdirilmiş dizayn bir maşın və bir siyasət saxlayır, bunun qiyməti VPN tətbiqinin cədvəl həyat dövründən və sənədləşməsinin dəyişə biləcəyi işarələr dəstindən asılılıqdır. Aşağı axın şəbəkəsi üçün ayrılmış marşrutlaşdırıcı bu asılılığı tamamilə aradan qaldırır: alt şəbəkənin öz yuxarı kanalı var və iş stansiyası yönləndirmə rolu olmayan müştəri olaraq qalır.

İkincisini o zaman seç ki, aşağı axın şəbəkəsi VPN yeniləmələri boyunca işləməlidir, ya da hər buraxılışdan sonra birləşdirilmiş siyasəti heç kim sınaya bilmir. Birincisini yalnız inteqrasiya sənədləşdirildikdə və onun sahibi olduqda seç.

Sərhədi dörd vəziyyətdə yoxla: qoşulmuş, yenidən qoşulan, qəsdən bloklanmış və dayandırılmış. Hər birində ad həllini və hər iki ünvan ailəsini yoxla, çünki DNS-i sızdıran keçid sənin dizayn etdiyin istisna deyil. Test dəqiq sərhədi sübut etməlidir, sadəcə bir səhifənin yüklənməsini deyil.