Regles de VPN al router: fes coincidir l’origen i la destinació

Les pàgines de compra de routers presenten l’encaminament VPN com una casella, i la frase amaga tres preguntes diferents. La regla coincideix amb el dispositiu que envia el trànsit, amb el servidor que el rep o amb tots dos? Què passa amb el trànsit que no coincideix amb cap? I quan dues regles se solapen, quina guanya? Escriure la resposta com una parella d’origen i destinació converteix una llista de funcions vaga en un disseny comprovable.

El nom de la funció amaga dos extrems

Un reproductor multimèdia que ha d’usar el túnel és una coincidència d’origen. Un prefix d’oficina privat que ha de ser accessible pel túnel és una coincidència de destinació. Una estació de treball que ha d’usar el túnel només per a un servei és totes dues coses, i aquesta intersecció és el cas que la majoria del firmware de consum gestiona malament.

Escriu el requisit com una parella abans de comparar productes. La parella és el que provaràs més endavant.

Un producte que ofereix una llista de dispositius o una llista global de destinacions potser no pot expressar «només aquest dispositiu, només aquestes destinacions». La diferència no és estètica: una regla global de destinació envia el trànsit de tots els dispositius cap a aquell lloc pel túnel, i una regla de dispositiu envia tot el trànsit d’aquell dispositiu. Cap de les dues és el requisit. Prova aquest cas amb dos dispositius abans de confiar en la pantalla.

Construeix la regla com una intersecció

Una taula manté el disseny honest. Posa l’escenari a l’esquerra i després anomena per separat la coincidència de remitent i la de destí:

La tercera fila és la interessant, perquè necessita les dues meitats alhora. Si el firmware només pot expressar un eix, el requisit s’ha de dividir en dues regles o traslladar-se a un dispositiu que ho pugui fer.

Mantén estable la identitat de l’origen. Una reserva DHCP, un segment dedicat o un mecanisme d’identitat de dispositiu funcionen, però una adreça que canvia quan venç l’arrendament no. Inclou IPv6, perquè una adreça IPv4 no identifica tot el trànsit d’un dispositiu.

La prioritat decideix el solapament

El solapament de regles és normal. Una regla àmplia de dispositiu i una regla estreta de destinació poden descriure un mateix flux, i l’ordre de prioritat documentat decideix quina guanya. Una pantalla de configuració atractiva no t’explica aquest ordre.

Llegeix el manual per a l’ordre i per al cas sense coincidència, i després prova tots dos amb trànsit que puguis observar:

ip rule show
ip route get 203.0.113.10

Si la documentació no indica l’ordre, assumeix que la regla més estreta pot no guanyar i dissenya-ho tenint-ho en compte. Dues regles que no poden entrar en conflicte són més fàcils de mantenir que una regla enginyosa amb una precedència no documentada.

Els noms necessiten una política d’actualització

Una destinació escrita com a domini afegeix un problema de manteniment. El router l’ha de resoldre, actualitzar el mapatge, gestionar diverses adreces i subdominis i fer front al DNS d’aplicacions que evita el resoldre esperat.

Copiar un resultat de consulta en una regla IP és una captura, no una política de domini.

Decideix quant pot envellir una resposta abans que la regla sigui incorrecta i què fa el router quan la resolució falla. Una regla que conserva l’última adreça coneguda pot sobreviure a una migració de servei; una regla que descarta l’entrada pot aturar el túnel en silenci. Qualsevol dels dos comportaments és acceptable si s’escriu al costat de la regla.

Defineix l’estat no disponible

Una preferència d’encaminament no imposa trànsit només per VPN. Quan el túnel està caigut, el router pot bloquejar el flux, enviar-lo directe o usar un altre túnel, i cada opció té una empremta de fallada diferent.

Decideix quina necessita el requisit i després verifica-ho aturant el túnel i observant el flux:

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10

El trànsit originat pel router és un àmbit a part. El reenviament DNS, les comprovacions d’actualització i el monitoratge poden iniciar fluxos nous des del mateix router en lloc d’heretar la coincidència d’origen del dispositiu. Compta explícitament amb aquests fluxos, o apareixeran com a fuites inexplicades als registres.