Bölünmüş tunel VPN-in hansı trafiki istifadə etdiyini necə müəyyənləşdirir

Bölünmüş tunel bir sıra qayda kimi ifadə olunan marşrutlaşdırma siyasətidir və müştəri yalnız onları quraşdıran şeydir. Ayrılma iki yerdə baş verir: hər paket üçün yol seçən uyğunlaşdırma qaydaları və cədvəlin nə dediyindən asılı olmayaraq tətbiqi bir interfeysə bağlayan bağlamalar. Müştərinizin hansı mexanizmə güvəndiyi insanların bildirdiyi sürprizlərin çoxunu izah edir.

Bir sətirdə deyə bildiyiniz siyasət sınaqdan keçirilə biləndir. Daha sürətli gəzinti kimi təsvir edilən siyasət isə belə deyil və sorğu yanlış istiqamətə getdikdə hansı qaydanın dəyişdirilməsini sizə deməyəcək.

Müştəri qaydaları quraşdırır, seçimi nüvə edir

Tunel qalxdıqda müştəri digər interfeyslərinizin istifadə etdiyi eyni cədvələ marşrutlar və çox vaxt siyasət qaydaları əlavə edir. Sonra hər paket hədəfini hər namizəd prefikslə müqayisə edən və ən dəqiq uyğunluğu saxlayan bir axtarışa çatır, prioritet isə müxtəlif cədvəllərə işarə edən qaydalar arasındakı bərabərliyi həll edir. Bu axtarışda heç nə paketin ehtiyat işindən deyil, brauzer sekmesinden gəldiyini bilmir. Qalib gələn qayda yolu təyin edəndir və siz onu dəyişiklikdən əvvəl və sonra oxuya bilərsiniz.

Buna görə bölünmüş tunel ixtiyari görünə bilər. Bir tətbiqdəki iki hədəf sadəcə bir prefiksin digərindən dar olması səbəbilə fərqli yollar tuta bilər.

Eyni seçim hər platformada mövcuddur, baxmayaraq ki adlar dəyişir. Windows qərarı öz filtr platformasına itələyir, Android VPN xidməti vasitəsilə hər tətbiq üçün icazə siyahısı təqdim edir, macOS isə tuneli hələ də marşrut cədvəlinə tabe olan bir qurğuya bağlayır. Microsoft-un marşrutlaşdırma qeydləri Windows halı üçün oxunmağa dəyər və bir platforma üçün yazılmış bələdçi nadir hallarda dəyişmədən digərinə keçir.

Tətbiq üzrə bağlama və hədəf prefiksləri fərqli alətlərdir

Hədəf siyasəti paketin hara getdiyini soruşur və marşrut cədvəlinə və ya siyasət qaydasına baxır. Tətbiq üzrə siyasət hansı proqramın soketi açdığını soruşur və platforma daha dəqiq marşrut başqa yerə işarə etsə belə həmin proqramı tunel interfeysində saxlayır. İkincisi cədvəl dəyişikliklərinə tab gəldiyi üçün daha güclüdür, amma yalnız platformanın aid edə bildiyi prosesləri əhatə edir. Köməkçi proses, daxili brauzer və ya öz bağlantısını açan xidmət güman etdiyiniz bağlamanı miras almaya bilər.

Heç bir yanaşma kömək olmadan ada əsaslanan siyasətdən sağ çıxmır. Böyük saytların ünvanları məzmun şəbəkələri üzrə dövr edir, ona görə host adını bir neçə prefiksə mıxlamaq səssizcə uyğunlaşmağı dayandıran qayda yaradır. Adları izləməli olan siyasət statik marşrut əvəzinə həlledici barədə məlumatlı komponentə ehtiyac duyur.

DNS və fövqəladə kəsmə açarı öz qaydalarına tabedir

Ad həlli paket marşrutlaşdırmasından ayrı qərardır və bölünmüş tunel adətən iki həlledici istəyir: daxili adlar üçün şirkətin, qalan hər şey üçün yerli. Müştəri interfeys üzrə DNS parametrlərini quraşdıra, sorğuları stub həllediciyə verə və ya sistem standartını toxunulmaz qoya bilər. Öz şifrələnmiş həlledicisi olan brauzer üç tənzimləmənin hamısını yan keçir. Həlledicinin marşruta tabe olduğunu güman etmək əvəzinə bir sorğunu sınayın.

Fövqəladə kəsmə açarı üstə bir filtr əlavə edir və bu filtr həmişə nəzərdə tutulan istisnanı təsadüfi sızıntıdan ayırmır. Bəzi müştərilər tuneldən kənarda hər şeyi bloklayır, digərləri isə siyasətin bəyan etdiyi istisnalara icazə verir, ona görə hansına güvənməzdən əvvəl sizin müştərinin hansı davranışı tətbiq etdiyini oxuyun.

Bölünməni hər iki tərəfdən yoxlayın

Daxil edilmiş yolu və xaric edilmiş yolu ayrı-ayrı sınayın və nəticəni ümumi ünvana görə deyil, interfeys adına görə qiymətləndirin. Bu əmrlər tunel qurğusu artıq qalxmış Linux hostunu güman edir. 203.0.113.10 ünvanını siyasətinizin daxilə yönəltdiyi hədəflə, 198.51.100.25 ünvanını isə xaricə göndərdiyi hədəflə əvəz edin.

ip route get 203.0.113.10
ip route get 198.51.100.25
resolvectl query intranet.example.com
curl -s --interface tun0 https://example.com -o /dev/null -w '%{http_code}\n'

İlk iki cavabı birlikdə oxuyun, çünki hər birində adı çəkilən interfeys bölünmənin həmin hədəfi tunelə qoyub-qoymadığını göstərir. Həlledici sorğusu daxili ada hansı serverin cavab verdiyini göstərir və son əmr tunel qurğusunun ümumiyyətlə sorğu daşıya bildiyini sübut edir. Birinci sətir uğur qazanarkən ikincidə uğursuzluq siyasətin ona deyilənləri tam yerinə yetirdiyini bildirir.

Dəsti yenidən qoşulmadan sonra və şəbəkə dəyişikliyindən sonra təkrarlayın. İcarənin yenilənməsi və interfeys dəyişkənliyi bölünmənin qurulduğu məqsədə uyğunlaşmağı dayandırdığı yerlərdir və hər işdən saxlanılmış çıxış sürüşməni aydın edir.