Twneio hollt yn seiliedig ar ap neu ar gyrchfan: pa un i'w ddewis

Nid yw twneio hollt yn seiliedig ar ap a gyrchfan yn ddau osodiad ar gyfer yr un gwaith. Mae un yn gofyn pa broses sy'n anfon pecyn; mae'r llall yn gofyn i ble mae'r pecyn hwnnw'n mynd. Mae rheol a adeiladwyd ar gyfer y cwestiwn cyntaf yn methu'n dawel pan ddaw'r traffig o broses gynorthwyol, ac mae rheol ar gyfer yr ail yn methu pan fydd enw gwesteiwr yn datrys i gyfeiriad nad ydych erioed wedi'i restru. Dewiswch y gwrthrych sy'n cyfateb i'r gofyniad, yna profwch hynny gyda dau becyn prawf: un y mae'n rhaid iddo ddefnyddio'r twmffat ac un na chaiff.

Mae'r ddwy reol yn gweithredu ar haenau gwahanol

Gweithredir rheol ap uwchlaw'r haen rwydwaith, yn erbyn y hunaniaeth y mae'r system weithredu yn ei rhoi i'r anfonwr. Ar Android hwnnw yw'r UID y tu ôl i becyn, ac mae'r gwasanaeth VPN yn penderfynu fesul UID a yw traffig yn mynd i mewn i'r twmffat. Ni ofynnir dim am y gyrchfan, felly gall yr ap a ddewiswyd gyrraedd unrhyw beth ac ni all unrhyw ap arall gyrraedd y rhwydwaith mewnol.

Gweithredir rheol gyrchfan ar y pecyn ei hun. Mae gan ryngwyneb y twmffat set o ragotegau, mae'r tabl llwybro yn anfon traffig sy'n cyfateb iddo, ac mae'r broses anfon yn amherthnasol. Dyna pam mae rheol gyrchfan yn cwmpasu gwasanaeth, argraffydd neu swydd swp na chofiodd neb ei restru, a dyna pam na ellir ei mynegi fel y rhaglen hon yn unig ar lwyfan nad yw ei glient byth yn edrych ar y broses.

Mae rheolau ap yn addas ar gyfer cleientiaid symudol ac asiantau a reolir

Mae Android yn datgelu'r dewis yn uniongyrchol: VpnService.Builder.addAllowedApplication() a addDisallowedApplication() yn cymryd enwau pecyn ac yn gorfodi'r penderfyniad fesul UID, fel y disgrifir yn canllaw datblygwyr VPN Android. Mae gan iOS gyfwerth trwy reolau VPN fesul ap wedi'u seilio ar ddynodwyr bwndel, a ddarperir fel arfer gan broffil MDM yn hytrach na'u teipio â llaw.

Cleientiaid bwrdd gwaith yw'r man gwan. Mae'r rhan fwyaf o gleientiaid VPN Windows a macOS yn llwybro yn ôl cyrchfan ac yn cynnig dim detholydd fesul proses o gwbl, oherwydd mae gyrrwr y twmffat yn gweld pecynnau, nid prosesau. Os yw eich cynllun yn dibynnu ar dwneio un cymhwysiad ar liniadur, gwiriwch alluoedd gwirioneddol y cleient cyn dylunio o'i gwmpas; efallai eich bod yn dewis rhwng rhestr gyrchfannau ac ail beiriant.

Canlyniad y mae pobl yn ei golli: ni allwch efelychu rheol ap â llwybrau ar y llwyfannau hynny. Mae ychwanegu llwybr gwesteiwr ar gyfer gweinydd yr ap yn twneio traffig pawb i'r gweinydd hwnnw, gan gynnwys y porwr a'r diweddarydd.

Mae rheolau cyrchfan yn addas ar gyfer rhestrau is-rwydwaith a chyrhaeddiad safleoedd

Mae WireGuard yn gwneud y model yn eglur. AllowedIPs yw llwybro cryptogoriad: mae pecyn mewnol y mae ei gyrchfan yn syrthio o fewn rhestr cymar yn cael ei amgryptio i'r cymar hwnnw, ac mae unrhyw beth arall yn gadael heb ei amgryptio trwy'r llwybr arferol. Nid oes proses i'w henwi ac nid oes amwysedd ynghylch yr hyn sy'n cael ei gynnwys.

Mae OpenVPN yn cyrraedd yr un lle trwy'r tabl llwybro a wthiwyd. Mae route-nopull yn atal y gweinydd rhag pennu llwybrau, ac wedyn mae route 10.20.0.0 255.255.0.0 vpn_gateway ar ochr y cleient yn cwmpasu'r rhagddodiad swyddfa yn union. Mae IPv6 yn ddatganiad ar wahân ym mhob un o'r cleientiaid hyn, ac anghofio amdano yw'r ffordd fwyaf cyffredin o ollwng o amgylch hollt IPv4 sy'n edrych yn gywir.

Nid yw enw gwesteiwr yn llwybr. Os yw'r proffil yn cynnig maes parth, triniwch ef fel enw y mae'r cleient yn ei ddatrys unwaith, nid fel amrediad cyfeiriadau parhaol; bydd rhwydweithiau dosbarthu cynnwys a chydbwyswyr llwyth yn rhoi cyfeiriadau gwahanol yfory.

Lle mae'r ddau fodel yn torri: cynorthwywyr, gwasanaethau a rennir, datryswyr

Mae prosesau cynorthwyol yn torri rheolau ap mewn ffordd sy'n edrych fel nam gweinydd. Mae diweddarydd porwr, adroddwr chwalu, gwasanaeth cydweddu sy'n rhedeg fel SYSTEM a WebView sydd wedi'i wreiddio mewn pecyn arall i gyd yn hunaniaethau ar wahân, felly gall twneio'r porwr adael y cais gwirioneddol y tu allan i'r twmffat. Mae'r gwrthwyneb yr un mor ddryslyd: mae ap a eithriwyd sy'n galw llyfrgell a rennir y tu mewn i broses a dwneiwyd yn dal i gael ei draffig trwy'r twmffat.

Mae rheolau cyrchfan yn torri ar wasanaethau a rennir ac ar enwau. Mae cyfranddaliadau ffeil, argraffwyr, DNS mewnol a'r gweinydd trwyddedu i gyd yn byw ar gyfeiriadau, felly mae twmffat un ap yn rhoi mynediad i'r porwr tra bod y gyriant a fapiwyd yn farw. Nid yw'r gwahaniaeth sylw hwnnw yn fyg mewn unrhyw fodel, ond dyna'r rheswm y mae twmffat un ap mor aml yn cynhyrchu bod y VPN i fyny a'r gyfran wedi mynd.

Mae datryswyr yn torri ar draws y ddau. Os yw'r cleient yn gosod gweinyddion DNS mewnol ond mae'r system weithredu yn defnyddio DNS dros HTTPS i ddatryswr cyhoeddus, daw'r ateb o'r tu allan i'r twmffat ac efallai na fydd y rheol gyrchfan byth yn cyfateb. Gwiriwch pa ddatryswr a atebodd mewn gwirionedd cyn dod i'r casgliad bod y rheol yn anghywir, a chadarnhewch ar ochr y cleient a osododd ddatryswr y twmffat o gwbl. Mae hollt sy'n gadael DNS y tu allan i'r twmffat yn edrych yn berffaith yn y tabl llwybro ac yn dal i fethu ar bob enw mewnol.

Llawlyfr gwaith: dewis, cymhwyso, dilysu

Dechreuwch o'r gofyniad, nid o'r fwydlen. Os mai'r nod yw dim ond yr ap hwn gaiff ddefnyddio'r twmffat, mae angen rheolau ap a llwyfan sy'n eu cefnogi. Os mai'r nod yw mae'r rhwydweithiau hyn yn gyrraeddadwy trwy'r twmffat, mae angen rhagddodiadau. Os mai'r ddau yw'r ateb, gweithredwch nhw fel dau reolydd ar wahân ac ysgrifennwch pa un sy'n berchen ar ba fethiant.

Cymhwyswch y ffurf gulaf y gallwch ei mynegi, yna dilyswch trwy ofyn i'r tabl llwybro yn hytrach nag eicon statws y cleient:

ip route get 10.20.30.40
ip -6 route get 2001:db8:10::40
wg show wg0 allowed-ips
Get-NetRoute -DestinationPrefix 10.20.0.0/16
Find-NetRoute -RemoteIPAddress 10.20.30.40

Mae'r ddwy linell gyntaf yn enwi'r rhyngwyneb y byddai cyrchfan wirioneddol yn ei ddefnyddio; mae wg show yn argraffu'r rhestr ragotegau wedi'i ffurfweddu; ar Windows mae Find-NetRoute yn ateb yr un cwestiwn y bydd y pentwr yn ei ateb pan anfonir y pecyn. Os y rhyngwyneb yw'r twmffat, mae'r rheol wedi cyfateb.

Yna profwch ail becyn y dylid ei eithrio, o gymhwysiad gwahanol, i'r un gyrchfan. Cofnodwch fersiwn y cleient, math y rheol, y rhestr ragotegau neu'r rhestr pecynnau a'r ddau ganlyniad a arsylwyd yn y tocyn. Y pâr hwnnw o ganlyniadau sy'n dweud wrth y peiriannydd nesaf a yw'r polisi wedi'i ffurfweddu'n anghywir, neu na fu'r traffig erioed yn perthyn iddo.