Pravidla VPN na routeru: sladění zdroje a cíle

Stránky pro nákup routerů představují VPN směrování jako jedno zaškrtávací pole a tato fráze skrývá tři různé otázky. Odpovídá pravidlo zařízení, které provoz odesílá, serveru, který ho přijímá, nebo oběma? Co se stane s provozem, který neodpovídá ani jednomu? A když se dvě pravidla překrývají, které vyhraje? Pokud odpověď zapíšete jako dvojici zdroje a cíle, z neurčitého seznamu funkcí se stane testovatelný návrh.

Název funkce skrývá dva konce

Přehrávač médií, který má používat tunel, je shoda zdroje. Soukromý kancelářský prefix, který má být dostupný přes tunel, je shoda cíle. Pracovní stanice, která má tunel používat jen pro jednu službu, je obojí, a tím průnikem je případ, se kterým si většina spotřebitelského firmwaru neporadí.

Zapište požadavek jako dvojici dřív, než budete porovnávat produkty. Právě tuto dvojici budete později testovat.

Produkt, který nabízí seznam zařízení nebo globální seznam cílů, nemusí umět vyjádřit „jen toto zařízení, jen tyto cíle“. Rozdíl není kosmetický: globální pravidlo cíle posílá provoz každého zařízení na daný web přes tunel a pravidlo zařízení posílá veškerý provoz daného zařízení. Ani jedno není požadavek. Otestujte tento případ se dvěma zařízeními, než obrazovce uvěříte.

Postavte pravidlo jako průnik

Tabulka udržuje návrh poctivý. Scénář dejte vlevo a potom odděleně pojmenujte shodu odesílatele a shodu cíle:

Zajímavý je třetí řádek, protože potřebuje obě poloviny najednou. Pokud firmware umí vyjádřit jen jednu osu, musí se požadavek rozdělit na dvě pravidla nebo přesunout na zařízení, které to zvládne.

Udržujte identitu zdroje stabilní. Rezervace DHCP, vyhrazený segment nebo mechanismus identity zařízení fungují, ale adresa, která se po vypršení leasingu změní, nefunguje. Zahrňte IPv6, protože jedna adresa IPv4 neidentifikuje veškerý provoz zařízení.

O překryvu rozhoduje priorita

Překrývání pravidel je normální. Široké pravidlo zařízení a úzké pravidlo cíle mohou popisovat stejný tok a dokumentované pořadí priority rozhoduje, které vyhraje. Atraktivní obrazovka nastavení vám toto pořadí neřekne.

Přečtěte si v příručce pořadí i případ bez shody a potom obojí otestujte provozem, který můžete pozorovat:

ip rule show
ip route get 203.0.113.10

Pokud dokumentace pořadí neuvádí, předpokládejte, že užší pravidlo nemusí vyhrát, a navrhněte to s tím. Dvě pravidla, která si nemohou odporovat, se podporují snadněji než jedno chytré pravidlo s nedokumentovanou prioritou.

Názvy potřebují politiku obnovy

Cíl zapsaný jako doména přidává problém údržby. Router ho musí přeložit, obnovovat mapování, zvládat více adres a subdomén a vypořádat se s DNS aplikací, které obchází očekávaný překladač.

Zkopírování jednoho výsledku dotazu do pravidla IP je snímek, ne politika domény.

Rozhodněte, jak stará může být odpověď, než je pravidlo špatné, a co router udělá, když překlad selže. Pravidlo, které si drží poslední známou adresu, může přežít migraci služby; pravidlo, které záznam zahodí, může tiše zastavit tunelování. Oba způsoby jsou přijatelné, pokud jsou zapsané u pravidla.

Definujte stav nedostupnosti

Preference trasy nevynucuje provoz pouze přes VPN. Když je tunel mimo provoz, router může tok zablokovat, poslat ho přímo nebo použít jiný tunel a každá volba má jiný podpis selhání.

Rozhodněte, kterou požadavek potřebuje, a potom to ověřte zastavením tunelu a sledováním toku:

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10

Provoz, který vzniká na routeru, je samostatná oblast. DNS předávání, kontroly aktualizací a monitorování mohou spouštět nové toky přímo z routeru, místo aby dědily shodu zdroje zařízení. Počítejte s těmito toky výslovně, jinak se v protokolech objeví jako nevysvětlené úniky.