Kako razdvojeni tunel odlučuje koji promet koristi VPN

Razdvojeni tunel je politika usmjeravanja izražena skupom pravila, i klijent je samo ono što ih instalira. Razdvajanje se događa na dva mjesta: pravila podudaranja koja biraju put za svaki paket, i vezivanja koja drže aplikaciju na jednom sučelju ma što tablica rekla. O kojem se mehanizmu oslanja vaš klijent objašnjava većinu iznenađenja o kojima ljudi izvještavaju.

Politiku koju možete izraziti u jednom retku moguće je testirati. Politika opisana kao brže pregledavanje to nije, i neće vam reći koje pravilo promijeniti kada zahtjev krene u pogrešnom smjeru.

Klijent instalira pravila, kernel donosi izbor

Kada se tunel podigne, klijent dodaje rute i često pravila politike u istu tablicu koju koriste vaša druga sučelja. Svaki paket zatim dolazi do pretrage koja uspoređuje njegovo odredište sa svakim kandidatnim prefiksom i zadržava najspecifičnije podudaranje, dok prioritet rješava izjednačenja između pravila koja pokazuju na različite tablice. Ništa u toj pretrazi ne zna da je paket došao iz kartice preglednika, a ne iz posla sigurnosnog kopiranja. Pravilo koje pobjeđuje je ono koje postavlja put, i možete ga pročitati prije i poslije promjene.

Zato razdvojeni tunel može izgledati proizvoljno. Dva odredišta u jednoj aplikaciji mogu krenuti različitim putevima samo zato što je jedan prefiks uži od drugoga.

Isti izbor postoji na svakoj platformi, iako se nazivi mijenjaju. Windows gura odluku u svoju platformu filtara, Android izlaže popis dopuštenih aplikacija kroz svoju VPN uslugu, a macOS veže tunel za uređaj koji se još pokorava tablici usmjeravanja. Microsoftove bilješke o usmjeravanju vrijedi pročitati za slučaj Windowsa, a vodič napisan za jednu platformu rijetko se prenosi nepromijenjen na drugu.

Vezivanje po aplikaciji i odredišni prefiksi različiti su alati

Politika odredišta pita kamo paket ide i savjetuje se s tablicom ruta ili pravilom politike. Politika po aplikaciji pita koja je programa otvorila utičnicu, a platforma drži tu program na sučelju tunela čak i kada specifičnija ruta pokazuje drugamo. Druga je jača jer preživljava promjene tablice, ali pokriva samo procese koje platforma može pripisati. Pomoćni proces, ugrađeni preglednik ili usluga koja otvara vlastitu vezu možda neće naslijediti vezivanje koje ste pretpostavili.

Nijedan pristup ne preživljava politiku zasnovanu na imenima bez pomoći. Adrese velikih lokaliteta rotiraju kroz mreže sadržaja, pa prikvačivanje imena hosta za nekoliko prefiksa stvara pravilo koje tiho prestaje podudarati. Politika koja mora slijediti imena treba komponentu koja razumije razrješivača, a ne statičnu rutu.

DNS i sigurnosni prekidač slijede vlastita pravila

Razrješavanje imena odluka je odvojena od usmjeravanja paketa, a razdvojeni tunel obično želi dva razrješivača: tvrtkin za unutarnja imena, lokalni za sve ostalo. Klijent može instalirati DNS postavke po sučelju, predati upite pomoćnom razrješivaču ili ostaviti zadano sustava netaknutim. Preglednik s vlastitim šifriranim razrješivačem zaobilazi sva tri rasporeda. Testirajte upit umjesto da pretpostavljate da je razrješivač slijedio rutu.

Sigurnosni prekidač dodaje filtar odozgo, a taj filtar ne razlikuje uvijek namjeravano isključenje od slučajnog curenja. Neki klijenti blokiraju sve izvan tunela dok drugi dopuštaju isključenja koja politika navodi, pa pročitajte koje ponašanje vaš provodi prije nego se pouzdate u bilo koje od dvaju.

Provjerite razdvajanje s obje strane

Testirajte uključeni put i isključeni put odvojeno, i procijenite rezultat po imenu sučelja, a ne po javnoj adresi. Ove naredbe pretpostavljaju Linux host s već podignutim tunelskim uređajem. Zamijenite 203.0.113.10 odredištem koje vaša politika usmjerava unutra, a 198.51.100.25 onim koje šalje van.

ip route get 203.0.113.10
ip route get 198.51.100.25
resolvectl query intranet.example.com
curl -s --interface tun0 https://example.com -o /dev/null -w '%{http_code}\n'

Čitajte prva dva odgovora zajedno, jer sučelje navedeno u svakome pokazuje je li razdvajanje stavilo to odredište na tunel. Upit razrješivača pokazuje koji je poslužitelj odgovorio na unutarnje ime, a posljednja naredba dokazuje da tunelski uređaj uopće može nositi zahtjev. Neuspjeh u drugom retku dok prvi uspijeva znači da politika radi upravo ono što joj je rečeno.

Ponovite skup nakon ponovnog spajanja i nakon promjene mreže. Obnova zakupa i promjena sučeljâ mjesta su gdje razdvajanje prestaje odgovarati namjeri zbog koje je građeno, a spremljeni izlaz iz svakog pokretanja čini odstupanje očitim.