Telefon VPN-i ilə evə: firewall-u internet çıxışınıza çevirin

Telefonu ev tunelinə qoşmaq və LAN fayl paylaşımını açmaq tunelin işlədiyini sübut edir. Bu, telefonun internet sorğularının evdən çıxdığını sübut etmir. Bu iki nəticə arasındakı fərq yönləndirmə siyasəti üstəgəl marşrutdur, telefondakı daha bir işarə qutusu deyil. Bu həm də çoxlarının artıq qurduğunu güman etdiyi fərqdir.

Çıxış yolunu üç qərar yaradır: telefonun tunelə nə göndərdiyi, ev şlüzünün onu hara yönləndirdiyi və tunel olmadıqda nə baş verdiyi. Hər birinin telefondan eyni görünən öz uğursuzluq rejimi var.

İki atlama, iki siyasət

Xarici bağlantı ev VPN dinləyicisində bitir. Daxili paket başqa yerə yönləndirilməli ayrı obyektdir və yönləndirmə tuneli qəbul etməkdən fərqli firewall qərarıdır.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Tipik ev marşrutlaşdırıcısında bunlar müxtəlif qayda dəstlərində yaşayır. Tuneli qəbul etmək VPN interfeysində giriş siyasətidir; telefonun trafikini internetə çıxarmaq yönləndirmə siyasəti üstəgəl yuxarı kanalın tələb etdiyi mənbə çevirməsidir. Tuneli qəbul edib heç nə yönləndirməyən marşrutlaşdırıcı qoşulmuş görünən və heç bir səhifə açmayan telefon yaradır.

VPN xidməti evin içində ayrı maşında işləyirsə, bir atlama əlavə edin. Marşrutlaşdırıcı indi həmin maşından gələn trafiki görür, ona görə qaydaları telefonun tunel ünvanına deyil, serverin ünvanına tətbiq olunur və mənbə çevirməsi hər telefonu bir host kimi göstərə bilər.

Dinləyici filtr deyil

Tətbiqin harada baş verdiyini hələ lazım olan məlumat mövcudkən qərarlaşdırın. Marşrutlaşdırıcıda telefonun tunel ünvanı görünür və birbaşa uyğunlaşdırıla bilər. İkinci çevirmənin arxasında o yox olur və telefonun ünvanı üçün yazılmış qaydalar səssizcə heç nəyə uyğun gəlmir.

Bu, siyasətin noutbukda işləyib telefonda işləməməsinin adi səbəbidir. Noutbuk marşrutlaşdırıcıya birbaşa qoşulur, telefon marşrutlaşdırıcıdan keçən serverə qoşulur və yalnız birinci yol qaydanın gözlədiyi ünvanı qoruyur. Qayda səhv deyil; o, artıq həmin nöqtədə mövcud olmayan dəyərə uyğunlaşır.

Yolu hər tətbiq nöqtəsində göründüyü mənbə ünvanı ilə yazın. Bu tək diaqram hər hansı qayda redaktə edilməzdən əvvəl bu halların çoxunu həll edir.

Telefon əslində nə göndərməlidir

Yalnız ev alt şəbəkəsinə marşrut alan telefon yalnız həmin alt şəbəkənin trafikini tunelə göndərir. Qalan hər şey mobil şəbəkə üzərindən çıxır, buna görə fayl paylaşımı işləyir və internet sorğuları heç vaxt evə çatmır.

Tam tunel əhatəsi müştəri tərəfində marşrut qərarıdır və quraşdırılan profildən güman edilməklə deyil, platformanın dəstəklədiyi mexanizmlə qurulmalıdır. Qurulduqdan sonra VPN serverinin özünə qayıdan marşrut tuneldən kənarda qalmalıdır, əks halda müştəri öz nəqliyyatını saxlaya bilməz.

DNS öz qərarını haqq edir, çünki trafikin qalan hissəsindən ən çox fərqlənməyə meyilli hissə məhz budur. Profildəki həlledici ünvanı müştərilərin fərqli rəftar etdiyi bir təklifdir və öz şifrələnmiş həlledicisi olan tətbiq tamamilə ayrı yol tuta bilər. Ev siyasəti sorğuların müəyyən həllediciyə çatmasından asılıdırsa, onu trafikin həqiqətən keçdiyi yerdə tətbiq edin və ya bəzi sorğuların çatmayacağını qəbul edin. Həlledicinizi yan keçən sorğu onun üçün yazılmış qaydaya heç vaxt çatmır.

IPv6 DNS ilə eyni abzasda yer alır, əlavədə deyil. IPv4 tam tuneli AAAA trafiki barədə heç nə demir və ikili yığımlı mobil şəbəkədəki telefon onun üçün doğma yolu məmnuniyyətlə istifadə edəcək. Daşıma və ya bloklamanı açıq şəkildə seçin.

Firewall nəyi görə bilir, nəyi görə bilmir

Şlüz yalnız tətbiq nöqtəsinin açdığı şeylər üzərində işləyə bilər: ünvanlar, portlar, protokol, interfeys və bağlantının metadatası. Yönləndirilmiş HTTPS sorğusu yalnız ev tunelindən keçdiyi üçün səhifənin mətnini və ya parolu vermir.

Bu məhdudiyyəti qeyd etməyə dəyər, çünki «onun firewall-dan keçir» ifadəsi ev marşrutlaşdırıcısının etdiyindən daha çox yoxlama nəzərdə tutur. Təyinat qaydası, DNS siyasəti və tətbiq qatı proksisi üç fərqli yerləşdirmə xərci olan üç fərqli nəzarətdir.

Ev LAN müştəriləri üçün qurulmuş funksiyanın VPN interfeysinə aid olduğunu güman etməyin. Zona üzvlüyü konfiqurasiya seçimidir və düzgün zonada olmayan VPN interfeysi divandan sınaqdan keçirdiyiniz qaydaların heç birini miras almır.

Əlaqəsiz vəziyyəti qərarlaşdırın

Tunel mövcud olmadıqda telefon ya mobil şəbəkəyə qayıdır, ya da trafiki göndərməkdən imtina edir. Hər ikisi məquldur və yalnız biri çoxlarının qurduğuna inandığı şeyə uyğun gəlir.

Geri qayıtma rahatdır və tərifinə görə sızır: tunelin düşdüyü an sorğuların operator yolundan çıxdığı andır. Bloklama daha güclüdür və telefonu evin əlçatan olmasından asılı vəziyyətə salır ki, bu da səyahətdə olan üçün real əlçatanlıq xərcidir. Heç bir davranış səhv deyil; hər ikisi məhsuldur və bunu desəniz də, deməsəniz də, aralarında seçim edirsiniz.

Seçimi güman etmək əvəzinə sınayın. Ev xidmətini dayandırın, sonra telefondakı brauzerdən bir sorğu və fonda işləyən tətbiqdən bir sorğu göndərin. Sonradan yenidən qoşulmaq artıq çıxmış sorğuları geri qaytarmır.

Telefonun özündən iki nəzarətli yoxlama ilə bitirin: evdən keçməli olan bir icazəli əməliyyat və ev siyasətinin tətbiq etməli olduğu bir rədd. Şlüzün gözlədiyiniz axını, gözlədiyiniz ünvan ailəsində, yenidən qoşulmadan sonra qeyd etdiyini təsdiqləyin. «Qoşuldu» göstərən telefon o yoxlamanın başlanğıcıdır, heç vaxt sonu deyil.