VPN z telefonu domů: udělejte z firewallu svůj internetový východ

Připojení telefonu k domácímu tunelu a otevření sdílení souborů v LAN dokazuje, že tunel funguje. Nedokazuje, že internetové požadavky telefonu odcházejí přes dům. Rozdíl mezi těmito dvěma výsledky je politika přesměrování plus trasa, ne další zaškrtávací políčko v telefonu. Je to také rozdíl, o kterém si většina lidí myslí, že ho už nastavila.

Výstupní cestu vytvářejí tři rozhodnutí: co telefon posílá do tunelu, kam to domácí brána přesměrovává a co se stane, když tunel není. Každé má režim selhání, který z obrazovky telefonu vypadá jako ostatní.

Dva skoky, dvě politiky

Vnější spojení končí u domácího posluchače VPN. Vnitřní paket je samostatný objekt, který je třeba někam přesměrovat, a přesměrování je jiné rozhodnutí firewallu než přijetí tunelu na prvním místě.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Na typickém domácím routeru žijí tyto věci v různých sadách pravidel. Přijetí tunelu je vstupní politika na rozhraní VPN; odeslání provozu telefonu do internetu je politika přesměrování plus překlad zdroje, který uplink potřebuje. Router, který tunel přijme a nic nepřesměruje, vytvoří telefon, který ukazuje připojeno a nenačte žádnou stránku.

Pokud služba VPN běží na samostatném stroji uvnitř domu, přidejte skok. Router nyní vidí provoz přicházející z tohoto stroje, takže jeho pravidla platí pro adresu serveru, ne pro adresu tunelu telefonu, a překlad zdroje může každý telefon vydávat za jednoho hostitele.

Posluchač není filtr

Rozhodněte, kde k vynucení dojde, dokud informace, kterou potřebujete, ještě existuje. Na routeru je adresa tunelu telefonu viditelná a lze ji přímo porovnat. Za druhým překladem už není, a pravidla napsaná pro adresu telefonu tiše neodpovídají ničemu.

To je obvyklý důvod, proč politika funguje pro notebook a ne pro telefon. Notebook se připojuje přímo k routeru, telefon se připojuje k serveru, který přesměrovává přes router, a jen první cesta zachovává adresu, kterou pravidlo očekává. Pravidlo není špatné; porovnává hodnotu, která v tom místě už neexistuje.

Zapište cestu s adresou zdroje tak, jak vypadá v každém místě vynucení. Tento jediný diagram vyřeší většinu těchto případů dřív, než se upraví jakékoli pravidlo.

Co musí telefon skutečně posílat

Telefon, který dostane jen trasu do domácí podsítě, posílá do tunelu jen provoz této podsítě. Vše ostatní odchází přes mobilní síť, a proto sdílení souborů funguje a internetové požadavky se do domu nikdy nedostanou.

Plné pokrytí tunelem je rozhodnutí o směrování na straně klienta a musí se nastavit mechanismem, který platforma podporuje, ne předpokládat z profilu, který se instaluje. Jakmile je nastaveno, trasa zpět k samotnému serveru VPN musí zůstat mimo tunel, jinak klient nemůže udržet vlastní transport.

DNS si zaslouží vlastní rozhodnutí, protože je to část, která se nejspíš odchýlí od zbytku provozu. Adresa resolveru v profilu je návrh, který klienti zpracovávají různě, a aplikace s vlastním šifrovaným resolverem může jít zcela oddělenou cestou. Pokud domácí politika závisí na tom, že dotazy dosáhnou určitého resolveru, vynucujte ji tam, kde provoz skutečně prochází, nebo přijměte, že některé dotazy to neudělají. Dotaz, který váš resolver obejde, nikdy nedosáhne pravidla pro něj napsaného.

IPv6 patří do stejného odstavce jako DNS, ne do dodatku. Plný tunel IPv4 neříká nic o provozu AAAA a telefon v mobilní síti s dvojím zásobníkem pro něj rád použije nativní cestu. Zvolte přenos nebo blokování výslovně.

Co firewall vidí a co ne

Brána může jednat podle toho, co její místo vynucení odhalí: adresy, porty, protokol, rozhraní a metadata spojení. Přesměrovaný požadavek HTTPS nevydá tělo stránky ani heslo jen proto, že prochází domácím tunelem.

To omezení stojí za zmínku, protože fráze „protlačte to firewallem“ naznačuje více inspekce, než domácí router provádí. Pravidlo cíle, politika DNS a proxy na aplikační vrstvě jsou tři různé kontroly se třemi různými náklady na nasazení.

Nepředpokládejte, že funkce nastavená pro klienty domácí LAN platí i pro rozhraní VPN. Členství v zóně je volba konfigurace a rozhraní VPN, které není ve správné zóně, nedědí žádné z pravidel, která jste vyzkoušeli z gauče.

Rozhodněte o odpojeném stavu

Když tunel není dostupný, telefon se buď vrátí na mobilní síť, nebo odmítne provoz odeslat. Obojí je rozumné a jen jedno odpovídá tomu, co si většina lidí myslí, že nastavila.

Návrat je pohodlný a podle definice uniká: okamžik, kdy tunel spadne, je okamžikem, kdy požadavky odcházejí cestou operátora. Blokování je silnější a činí telefon závislým na dostupnosti domu, což je skutečná cena dostupnosti pro člověka na cestách. Ani jedno chování není chyba; obojí jsou produkty a vy mezi nimi volíte, ať to řeknete, nebo ne.

Volbu otestujte, místo abyste ji předpokládali. Zastavte domácí službu, pak zkuste jeden požadavek z prohlížeče telefonu a jeden z aplikace běžící na pozadí. Pozdější opětovné připojení nezruší požadavky, které už odešly.

Skončete dvěma řízenými kontrolami ze samotného telefonu: jedna povolená operace, která má projít domem, a jedno odmítnutí, které má domácí politika vynutit. Potvrďte, že brána zaznamenala tok, který jste očekávali, v adresní rodině, kterou jste očekávali, po opětovném připojení. Telefon ukazující Připojeno je začátek tohoto ověření, nikdy jeho konec.