Şəxsi marşrutları saxlayın, yönləndirməni atın: OpenVPN bölünmüş tuneli
Yalnız şəxsi tunel iki qayda tələb edir: şəxsi prefikslər ondan keçir, adi gəzinti yerli yolunu saxlayır. Standart marşrutu silmək siyasət deyil.
Tunel qalxır, tətbiq yüklənir və sonra noutbukdakı hər şey qəribə davranmağa başlayır. Bu, bir sətri silməklə həyata keçirilən yalnız şəxsi siyasətin adi görünüşüdür. İtilənmiş standart marşrutun silinməsi trafikin hara getdiyini həqiqətən dəyişir, amma trafikin əvəzində hara getməli olduğunu demir və ad həllinə ümumiyyətlə toxunmur. Siyasətin sınaqdan keçirilə bilməsi üçün iki müsbət yarısı olmalıdır.
Yönləndirməni silmək dəyişikliyin yalnız yarısıdır
Tam tunel yönləndirməsi ilə yalnız şəxsi siyasət dünya barədə iddia etdikləri ilə fərqlənir. Yönləndirmə hər təyinatı iddia edir, şəxsi siyasət isə bir siyahı iddia edir və qalanı olduğu kimi buraxır. Siyahını yazmadan iddianı silmək LAN xaricində heç bir yerə çatmayan müştəri yaradır ki, bu da siyasət boşluğundan çox marşrut xətası kimi görünür. İddianı silməzdən əvvəl siyahını yaz, onda bu iki addımın sırası əhəmiyyətini itirir.
Hər iki yarı standart deyil, tələbdir. Şəxsi prefikslər tunelə daxil olmalı, adi təyinatlar isə bağlantıdan əvvəl malik olduqları yolu saxlamalıdır.
Təşkilat tam tuneli məcburi qoyursa, bunların heç biri tətbiq olunmur. Yalnız şəxsi dizayn bölünmüş marşrutlaşdırmanın təsdiqləndiyi yerləşdirmələrə aiddir.
pull-filter uyğunluqdur, açar deyil
pull-filter direktivi adları prefiksə uyğun gələn itilənmiş seçimləri silir və bununla hər şey bitir. Yönləndirməni nəzərə almamaq hər digər itilənmiş seçimi yerində qoyur, bu da adətən istədiyin şeydir: marşrutlar, DNS parametrləri və marşrut-şlüz dəyəri yenə də gəlir. O, həmçinin yerli profildə yazılmış direktivi silə bilməz, çünki filtrləmə serverin itələdiyinə aiddir.
route ilə başlayan hər seçimi nəzərə almamaq vəsvəsəsinə müqavimət göstər. Bu nümunə bağlantının ehtiyac duyduğu şəxsi marşrutları da atır və tunelin asılı olduğu şlüz məlumatını itirə bilər.
route-nopull göründüyündən daha geniş qərardır. O, müştərinin itilənmiş marşrutları və DHCP üslublu seçimləri bir qrup kimi qəbul etməsini dayandırır ki, bu da bir seçimi filtrləməkdən fərqli siyasətdir.
Marşrut siyahısını tətbiqdən bayıra doğru yaz
İstifadəçinin həqiqətən açdığı şeydən başla, sonra dəstəkləyici hissələri əlavə et. 10.60.20.15 ünvanındakı tətbiq öz alt şəbəkəsini 10.60.0.0/16 nəzərdə tutur, şəxsi ad isə onu cavablandıran həlledicini nəzərdə tutur. Beləliklə, bir tətbiq istəyən istifadəçiyə iki təyinat və bir DNS qərarı lazımdır. Bu siyahıdan kənar hər şey konstruksiyaya görə əhatə xaricindədir və siyasəti yoxlanıla bilən saxlayan da budur.
Əməkdaşlıq edən serverdə bunlar iki itilənmiş marşruta çevrilir və heç biri yönləndirmə deyil. Mövcud xidmətin təqdim etdiyi tunel topologiyasını və marşrut-şlüz dəyərlərini saxla.
Yalnız bəzi istifadəçilər bu siyasətə ehtiyac duyursa, onu hər müştəri və ya hər qrup üzrə tətbiq et. Bir komandanın tələbini düzəltmək üçün hamının marşrutlaşdırmasını dəyişmək bölünmüş tunelin kəsintiyə çevrilmə üsuludur.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
DNS eyni yolu izləsin
Həllediciyə gedən marşrut həlledici siyasəti deyil. systemd-resolved müştərisində semantik nəticə şəxsi ad məkanı üçün daxili həllediciyə işarə edən marşrutlaşdırma domenidir və yalnız həmin adların ondan istifadə etməsinə səbəb olan da budur. Windows müştərisinə isə öz ad məkanı siyasəti mexanizmi lazımdır. Profildəki DNS server sətri bunların heç birini tək başına quraşdırmır.
Profilin tələb etdiyini deyil, əməliyyat sisteminin seçdiyini yoxla. Linux-da resolvectl status hər keçid üzrə domeni və serveri göstərir; Windows-da ad məkanı siyasəti cədvəli ekvivalent sübutdur.
Həlledicini tuneldən əlçatan saxla, əks halda siyasət sorğu göndərilə bilməyən ünvana işarə edir. Tunelin çata bilmədiyi həlledici ünvanı işləyən siyasəti fasiləyə çevirir.
Yenidən qoşulmada hər iki yarını yoxla
Dəyişiklikdən sonra müştərini yenidən qoş və şəxsi ünvana və ictimai ünvana effektiv marşrutu yoxla. Sonra şəxsi adı və ictimai adı həll et və hər birinin nəzərdə tutulan həlledicidən istifadə etdiyini təsdiqlə. İctimai veb saytın yüklənməsi yalnız ikinci yarını sübut edir və bu, adətən təsadüfən işləyən yarıdır.
Tamamlanmış siyasəti bir cümlə ilə qeyd et: bu prefikslər və adlar bu bağlantıdan istifadə edir, qalan hər şey yerli yolu izləyir. Sonra onu profildə saxla, hər girişdən sonra adapter parametrlərini təmir etmək əvəzinə.