Ponechte privátní trasy a zrušte přesměrování: rozdělený tunel OpenVPN

Tunel se zvedne, aplikace se načte a pak se všechno ostatní na notebooku začne chovat podivně. To je obvyklá podoba politiky pouze pro privátní sítě zavedené smazáním jednoho řádku. Odebrání protlačené výchozí trasy sice změní, kam provoz jde, ale neříká, kam má provoz jít místo toho, a vůbec se nedotýká překladu jmen. Politika potřebuje dvě kladné poloviny, než ji lze otestovat.

Smazání přesměrování je jen polovina změny

Přesměrování celého tunelu a politika pouze pro privátní sítě se liší v tom, co tvrdí o světě. Přesměrování si nárokuje každé cílové místo, zatímco privátní politika si nárokuje seznam a zbytek nechává na pokoji. Smazání nároku bez napsání seznamu vytvoří klienta, který nedosáhne na nic mimo LAN, což vypadá jako selhání směrování, a ne jako mezera v politice. Napište seznam dřív, než nárok odstraníte, a pořadí těchto dvou kroků přestane hrát roli.

Obě poloviny jsou požadavky, ne výchozí hodnoty. Privátní prefixy musí do tunelu vstoupit a běžná cílová místa si musí zachovat cestu, kterou měla před připojením.

Pokud organizace nařizuje plný tunel, nic z toho neplatí. Návrh pouze pro privátní sítě patří k nasazením, kde je rozdělené směrování schváleno.

pull-filter je shoda, ne přepínač

Direktiva pull-filter odstraňuje protlačené volby, jejichž názvy odpovídají prefixu, a to je vše, co dělá. Ignorování přesměrování ponechá každou další protlačenou volbu na místě, což je obvykle to, co chcete: trasy, nastavení DNS a hodnota brány trasy stále dorazí. Nemůže také odstranit direktivu zapsanou v místním profilu, protože filtrování se týká toho, co protlačuje server.

Odolejte pokušení ignorovat každou volbu začínající na route. Tento vzor také zahazuje privátní trasy, které připojení potřebuje, a může zahodit informace o bráně, na nichž tunel závisí.

route-nopull je širší rozhodnutí, než se zdá. Zastavuje klienta přijímat protlačené trasy a volby ve stylu DHCP jako skupinu, což je jiná politika než filtrování jedné volby.

Napište seznam tras od aplikace ven

Začněte tím, co uživatel skutečně otevírá, a pak přidejte podpůrné části. Aplikace na 10.60.20.15 implikuje svou podsíť 10.60.0.0/16 a privátní jméno implikuje překladač, který na něj odpovídá. Uživatel, který požádal o jednu aplikaci, proto potřebuje dvě cílová místa a jedno rozhodnutí o DNS. Vše za tímto seznamem je konstrukčně mimo rozsah a právě to udržuje politiku přezkoumatelnou.

Na spolupracujícím serveru se z toho stanou dvě protlačené trasy a ani jedna z nich není přesměrování. Zachovejte topologii tunelu a hodnoty brány trasy, které dodává stávající služba.

Když tuto politiku potřebují jen někteří uživatelé, použijte ji pro jednotlivého klienta nebo skupinu. Měnit směrování všem, aby se vyřešil požadavek jednoho týmu, je způsob, jakým se rozdělený tunel stane výpadkem.

Nechte DNS jít stejnou cestou

Trasa k překladači není politika překladače. Na klientu systemd-resolved je sémantickým výsledkem směrovací doména pro privátní jmenný prostor ukazující na interní překladač, a právě to způsobuje, že jej používají jen ta jména. Klient Windows potřebuje místo toho vlastní mechanismus politiky jmenných prostorů. Řádek serveru DNS v profilu sám o sobě neinstaluje ani jedno z toho.

Kontrolujte, co vybral operační systém, ne co požadoval profil. V Linuxu resolvectl status ukazuje doménu a server pro každé spojení; ve Windows je ekvivalentním důkazem tabulka politiky jmenných prostorů.

Udržujte překladač dostupný přes tunel, jinak politika ukazuje na adresu, na kterou se nelze dotázat. Adresa překladače, na kterou se tunel nedostane, promění fungující politiku ve vypršení časového limitu.

Ověřte obě poloviny při opětovném připojení

Po změně klienta znovu připojte a prohlédněte si efektivní trasu k privátní adrese a k veřejné. Potom přeložte privátní jméno a veřejné jméno a potvrďte, že každé použilo zamýšlený překladač. Načtení veřejného webu dokazuje jen druhou polovinu, a to je právě ta polovina, která obvykle funguje náhodou.

Zaznamenejte hotovou politiku jednou větou: tyto prefixy a jména používají toto připojení, všechno ostatní jde místní cestou. Pak ji držte v profilu, místo abyste po každém přihlášení opravovali nastavení adaptéru.