VPN от телефона към дома: превърнете защитната стена в изход към интернет

Свързването на телефон към домашния тунел и отварянето на LAN споделяне на файлове доказва, че тунелът работи. То не доказва, че интернет заявките на телефона излизат през дома. Разликата между тези два резултата е политика за препращане плюс маршрут, а не още една отметка на телефона. Това е и разликата, която повечето хора смятат, че вече са настроили.

Три решения създават пътя за изход: какво телефонът изпраща в тунела, накъде домашният шлюз го препраща и какво се случва, когато тунелът липсва. Всяко има режим на отказ, който от екрана на телефона изглежда като останалите.

Два скока, две политики

Външната връзка завършва при домашния слушател на VPN. Вътрешният пакет е отделен обект, който трябва да бъде препратен някъде, а препращането е различно решение на защитната стена от приемането на тунела на първо място.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

На типичен домашен рутер те живеят в различни набори от правила. Приемането на тунела е входна политика на VPN интерфейса; изпращането на трафика на телефона към интернет е политика за препращане плюс транслацията на източника, която каналът изисква. Рутер, който приема тунела и не препраща нищо, създава телефон, който показва връзка и не зарежда страници.

Ако VPN услугата работи на отделна машина в дома, добавете скок. Сега рутерът вижда трафик, идващ от тази машина, затова правилата му се прилагат към адреса на сървъра, а не към тунелния адрес на телефона, и транслацията на източника може да направи всеки телефон да изглежда като един хост.

Слушателят не е филтърът

Решете къде се извършва налагането, докато информацията, която ви трябва, още съществува. На рутера тунелният адрес на телефона е видим и може да бъде съпоставен директно. Зад втора транслация той е изчезнал и правилата, написани за адреса на телефона, безшумно не съвпадат с нищо.

Това е обичайната причина една политика да работи за лаптопа и да не работи за телефона. Лаптопът се свързва директно с рутера, телефонът се свързва със сървър, който препраща през рутера, и само първият път запазва адреса, който правилото очаква. Правилото не е грешно; то съпоставя стойност, която вече не съществува в тази точка.

Запишете пътя с адреса на източника, както изглежда във всяка точка на налагане. Тази единствена схема решава повечето от тези случаи, преди да бъде редактирано някое правило.

Какво всъщност трябва да изпраща телефонът

Телефон, който получава само маршрут до домашната подмрежа, изпраща в тунела само трафика на тази подмрежа. Всичко останало излиза през мобилната мрежа, затова споделянето на файлове работи, а интернет заявките никога не достигат до дома.

Пълното покритие на тунела е решение за маршрутизация от страна на клиента и трябва да бъде зададено с поддържания от платформата механизъм, а не предположено от профила, който се инсталира. След като бъде зададено, маршрутът обратно към самия VPN сървър трябва да остане извън тунела, иначе клиентът не може да поддържа собствения си транспорт.

DNS заслужава собствено решение, защото е частта, която най-вероятно се отклонява от останалия трафик. Адресът на резолвер в профила е предложение, което клиентите обработват различно, а приложение със собствен криптиран резолвер може да поеме напълно отделен път. Ако домашната политика зависи от това заявките да достигат до определен резолвер, налагайте я там, където трафикът действително преминава, или приемете, че някои заявки няма да го направят. Заявка, която заобикаля вашия резолвер, никога не достига до правило, написано за нея.

IPv6 принадлежи в същия абзац като DNS, а не в приложение. Пълният IPv4 тунел не казва нищо за трафика AAAA и телефон в мобилна мрежа с двоен стек ще използва с удоволствие родния път за него. Изберете пренасяне или блокиране изрично.

Какво може и какво не може да види защитната стена

Шлюзът може да действа върху това, което точката му на налагане разкрива: адреси, портове, протокол, интерфейс и метаданните на връзката. Препратена HTTPS заявка не предава тялото на страницата или паролата само защото преминава през домашния тунел.

Тази граница си заслужава да бъде казана, защото фразата „прекарайте го през защитната стена“ предполага повече инспекция, отколкото извършва един домашен рутер. Правило за дестинация, DNS политика и прокси на приложния слой са три различни контрола с три различни разходи за внедряване.

Не предполагайте, че функция, настроена за клиенти на домашната LAN, се отнася за VPN интерфейса. Членството в зона е избор на конфигурация и VPN интерфейс, който не е в правилната зона, не наследява нито едно от правилата, които сте тествали от дивана.

Решете състоянието без връзка

Когато тунелът е недостъпен, телефонът или се връща към мобилната мрежа, или отказва да изпрати трафика. И двете са разумни и само едното от тях съответства на това, което повечето хора вярват, че са настроили.

Връщането е удобно и по определение изтича: моментът, в който тунелът падне, е моментът, в който заявките излизат по пътя на оператора. Блокирането е по-силно и прави телефона зависим от достижимостта на дома, което е реален разход за наличност за човек в пътуване. Нито едно от двете поведения не е дефект; и двете са продукти и вие избирате между тях, независимо дали го казвате.

Тествайте избора, вместо да го предполагате. Спрете домашната услуга, после опитайте една заявка от браузъра на телефона и една от приложение, което работи във фонов режим. По-късното повторно свързване не отменя заявките, които вече са излезли.

Завършете с две контролирани проверки от самия телефон: една разрешена операция, която трябва да премине през дома, и един отказ, който домашната политика трябва да наложи. Потвърдете, че шлюзът е записал потока, който очаквахте, в семейството адреси, което очаквахте, след повторно свързване. Телефон, който показва „Свързан“, е началото на тази проверка, никога краят ѝ.