VPN з тэлефона дадому: зрабіце файрвол выхадам у інтэрнэт

Падключэнне тэлефона да хатняга тунэлю і адкрыццё агульнага доступу да файлаў у LAN даказвае, што тунэль працуе. Гэта не даказвае, што інтэрнэт-запыты тэлефона выходзяць праз дом. Розніца паміж гэтымі двума вынікамі — гэта палітыка перанакіравання плюс маршрут, а не яшчэ адзін сцяжок на тэлефоне. Гэта таксама тая розніца, якую большасць людзей мяркуе, што ўжо наладзіла.

Тры рашэнні ствараюць шлях выхаду: што тэлефон адпраўляе ў тунэль, куды хатні шлюз гэта перанакіроўвае і што адбываецца, калі тунэля няма. Кожнае мае рэжым збою, які з экрана тэлефона выглядае як іншыя.

Два скачкі, дзве палітыкі

Знешняе злучэнне сканчаецца на хатнім слухачы VPN. Унутраны пакет — асобны аб'ект, які трэба кудысьці перанакіраваць, і перанакіраванне — гэта іншае рашэнне файрвола, чым прыняцце тунэля ўвогуле.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

На тыповым хатнім маршрутызатары гэта жыве ў розных наборах правілаў. Прыняць тунэль — гэта палітыка ўваходу на інтэрфейсе VPN; адправіць трафік тэлефона ў інтэрнэт — гэта палітыка перанакіравання плюс тое пераўтварэнне крыніцы, якое патрабуе канал. Маршрутызатар, які прымае тунэль і нічога не перанакіроўвае, дае тэлефон, што паказвае злучэнне і не загружае ніводнай старонкі.

Калі служба VPN працуе на асобнай машыне ўнутры дома, дадайце яшчэ адзін скачок. Цяпер маршрутызатар бачыць трафік, што прыходзіць з гэтай машыны, таму яго правілы прымяняюцца да адрасу сервера, а не да адрасу тунэля тэлефона, і пераўтварэнне крыніцы можа зрабіць кожны тэлефон падобным на адзін хост.

Слухач — не фільтр

Вызначце, дзе адбываецца прымус, пакуль патрэбная інфармацыя яшчэ існуе. На маршрутызатары адрас тунэля тэлефона бачны і можа супастаўляцца напрамую. За другім пераўтварэннем ён знікае, і правілы, напісаныя для адрасу тэлефона, моўчкі не супадаюць ні з чым.

Гэта звычайная прычына, чаму палітыка працуе для ноўтбука і не працуе для тэлефона. Ноўтбук падключаецца да маршрутызатара напрамую, тэлефон падключаецца да сервера, які перанакіроўвае праз маршрутызатар, і толькі першы шлях захоўвае адрас, якога чакае правіла. Правіла не памылковае; яно супастаўляе значэнне, якога ў гэтым пункце ўжо няма.

Запішыце шлях з адрасам крыніцы так, як ён выглядае ў кожным пункце прымусу. Гэтая адна схема вырашае большасць такіх выпадкаў яшчэ да рэдагавання любога правіла.

Што тэлефон сапраўды павінен адпраўляць

Тэлефон, які атрымлівае толькі маршрут да хатняй падсеткі, адпраўляе ў тунэль толькі трафік гэтай падсеткі. Усё астатняе выходзіць праз мабільную сетку, таму агульны доступ да файлаў працуе, а інтэрнэт-запыты ніколі не дасягаюць дома.

Поўнае пакрыццё тунэля — гэта рашэнне маршрутызацыі на баку кліента, і яго трэба задаваць механізмам, які падтрымлівае платформа, а не мяркаваць з профілю, які ўсталёўваецца. Пасля ўсталявання маршрут назад да самога сервера VPN павінен заставацца па-за тунэлем, інакш кліент не зможа падтрымліваць уласны транспарт.

DNS заслугоўвае ўласнага рашэння, бо гэта частка, якая найчасцей адхіляецца ад астатняга трафіку. Адрас рэзалвера ў профілі — гэта прапанова, якую кліенты апрацоўваюць па-рознаму, а праграма з уласным зашыфраваным рэзалверам можа ісці цалкам асобным шляхам. Калі хатняя палітыка залежыць ад таго, што запыты дасягаюць пэўнага рэзалвера, прымяняйце яе там, дзе трафік сапраўды праходзіць, або прызнайце, што некаторыя запыты гэтага не зробяць. Запыт, які абыходзіць ваш рэзалвер, ніколі не дасягае правіла, напісанага для яго.

IPv6 належыць у той жа абзац, што і DNS, а не ў дадатак. Поўны тунэль IPv4 нічога не кажа пра трафік AAAA, і тэлефон у мабільнай сетцы з падвойным стэкам ахвотна выкарыстае для яго родны шлях. Выберыце транспарт або блакаванне яўна.

Што файрвол можа бачыць, а што не

Шлюз можа дзейнічаць на тое, што выяўляе яго пункт прымусу: адрасы, порты, пратакол, інтэрфейс і метададзеныя злучэння. Перанакіраваны запыт HTTPS не аддае цела старонкі або пароль толькі таму, што праходзіць праз хатні тунэль.

Гэтае абмежаванне варта назваць, бо фраза «прапусціце гэта праз файрвол» мяркуе большую інспекцыю, чым робіць хатні маршрутызатар. Правіла прызначэння, палітыка DNS і проксі прыкладнога ўзроўню — гэта тры розныя сродкі кантролю з трыма рознымі выдаткамі разгортвання.

Не мяркуйце, што функцыя, наладжаная для кліентаў хатняй LAN, дзейнічае для інтэрфейса VPN. Членства ў зоне — гэта выбар канфігурацыі, і інтэрфейс VPN, які не знаходзіцца ў патрэбнай зоне, не атрымлівае ніводнага з правілаў, якія вы правяралі з канапы.

Вызначце стан без злучэння

Калі тунэль недаступны, тэлефон альбо вяртаецца да мабільнай сеткі, альбо адмаўляецца адпраўляць трафік. Абодва варыянты разумныя, і толькі адзін з іх адпавядае таму, што большасць людзей лічыць наладжаным.

Вяртанне зручнае і па вызначэнні ўцякае: момант падзення тунэля — гэта момант, калі запыты выходзяць па шляху аператара. Блакаванне мацнейшае і робіць тэлефон залежным ад дасяжнасці дома, што з'яўляецца рэальнымі выдаткамі даступнасці для чалавека ў падарожжы. Ні адзін з паводзінаў не з'яўляецца памылкай; абодва — прадукты, і вы выбіраеце паміж імі, скажаце вы гэта ці не.

Праверце выбар, а не мяркуйце яго. Спыніце хатнюю службу, потым паспрабуйце адзін запыт з браўзера тэлефона і адзін з праграмы, якая працуе ў фоне. Паўторнае злучэнне пазней не адмяняе запытаў, якія ўжо выйшлі.

Завяршыце двума кантраляванымі праверкамі з самога тэлефона: адна дазволеная аперацыя, якая павінна прайсці праз дом, і адна адмова, якую хатняя палітыка павінна забяспечыць. Пераканайцеся, што шлюз запісаў паток, які вы чакалі, у тым адрасным сямействе, якое вы чакалі, пасля перападключэння. Тэлефон, што паказвае «Злучана», — гэта пачатак такой праверкі, а ніколі не канец.