Правілы VPN на роўтэры: супастаўце крыніцу і прызначэнне

Старонкі крам роўтэраў паказваюць маршрутызацыю VPN як адну галачку, і гэтая фраза хавае тры розныя пытанні. Ці супадае правіла з прыладай, якая адпраўляе трафік, з серверам, які яго атрымлівае, ці з абодвума? Што адбываецца з трафікам, які не супадае ні з адным? І калі два правілы перакрываюцца, якое перамагае? Калі запісаць адказ як пару крыніцы і прызначэння, расплывісты спіс функцый ператвараецца ў правераную канструкцыю.

Назва функцыі хавае два канцы

Медыяпрайгравальнік, які павінен выкарыстоўваць тунэль, — гэта супадзенне па крыніцы. Прыватны офісны прэфікс, які павінен быць даступны праз тунэль, — гэта супадзенне па прызначэнні. Працоўная станцыя, якая павінна выкарыстоўваць тунэль толькі для адной паслугі, — гэта абодва, і гэтае перасячэнне — выпадак, з якім большасць спажывецкіх прашывак спраўляецца дрэнна.

Запішыце патрабаванне як пару да параўнання прадуктаў. Менавіта гэтую пару вы будзеце правяраць пазней.

Прадукт, які прапануе спіс прылад або глабальны спіс прызначэнняў, можа не выразіць «толькі гэтая прылада, толькі гэтыя прызначэнні». Прабел не касметычны: глабальнае правіла прызначэння накіроўвае трафік кожнай прылады да гэтага сайта праз тунэль, а правіла прылады накіроўвае ўвесь трафік гэтай прылады. Ні адно не з'яўляецца патрабаваннем. Праверце гэты выпадак на двух прыладах, перш чым давяраць экрану.

Пабудуйце правіла як перасячэнне

Табліца трымае канструкцыю сумленнай. Пастаўце сцэнар злева, затым назвавеце супадзенне адпраўніка і супадзенне мэты асобна:

Трэці радок — самы цікавы, бо яму патрэбны абедзве паловы адначасова. Калі прашыўка можа выразіць толькі адну вось, патрабаванне трэба падзяліць на два правілы або перанесці на прыладу, якая гэта ўмее.

Трымайце ідэнтычнасць крыніцы стабільнай. Рэзерваванне DHCP, выдзелены сегмент або механізм ідэнтычнасці прылады — усё гэта працуе, а адрас, які змяняецца пасля заканчэння арэнды, не працуе. Уключыце IPv6, бо адзін адрас IPv4 не ідэнтыфікуе ўвесь трафік прылады.

Прыярытэт вырашае перакрыццё

Перакрыццё правілаў — гэта нармальна. Шырокае правіла прылады і вузкае правіла прызначэння могуць апісваць адзін паток, і дакументаваны парадак прыярытэту вырашае, якое перамагае. Прыгожы экран налад не паведамляе гэты парадак.

Прачытайце кіраўніцтва пра парадак і пра выпадак без супадзення, затым праверце абодва на трафіку, які можна назіраць:

ip rule show
ip route get 203.0.113.10

Калі дакументацыя не ўказвае парадак, меркавайце, што вузейшае правіла можа не перамагчы, і праектуйце з гэтым разлікам. Два правілы, якія не могуць канфліктаваць, прасцей падтрымліваць, чым адно разумнае правіла з незадакументаваным прыярытэтам.

Імёны патрабуюць палітыкі абнаўлення

Прызначэнне, запісанае як дамен, дадае праблему абслугоўвання. Роўтэр павінен яго развязаць, абнавіць супастаўленне, апрацаваць некалькі адрасоў і паддаменаў і справіцца з DNS праграм, які абыходзіць чаканы развязвальнік.

Капіраванне аднаго выніку пошуку ў правіла IP — гэта здымак, а не палітыка дамена.

Вызначце, наколькі састарэлым можа быць адказ, перш чым правіла стане няправільным, і што робіць роўтэр, калі развязанне не ўдалося. Правіла, якое захоўвае апошні вядомы адрас, можа перажыць міграцыю паслугі; правіла, якое выдаляе запіс, можа маўкліва спыніць тунэляванне. Любыя з гэтых паводзін прымальныя, калі яны запісаны побач з правілам.

Вызначце стан недаступнасці

Перавага маршруту не забяспечвае трафік толькі праз VPN. Калі тунэль не працуе, роўтэр можа заблакаваць паток, адправіць яго напрамую або выкарыстаць іншы тунэль, і кожны выбар мае розную сігнатуру збою.

Вызначце, які з іх патрэбны патрабаванню, затым праверце гэта, спыніўшы тунэль і назіраючы за патокам:

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10

Трафік, які паходзіць ад роўтэра, — асобная вобласць. Перанакіраванне DNS, праверкі абнаўленняў і маніторынг могуць пачынаць новыя патокі з самога роўтэра, а не атрымліваць у спадчыну супадзенне крыніцы прылады. Улічыце гэтыя патокі яўна, інакш яны з'явяцца ў журналах як непатлумачальныя ўцечкі.