Is-rwydwaith i lawr y llinell yn erbyn VPN penbwrdd: eithrio'r tramwy, nid yr apiau

Un peiriant, dau waith, un wal dân: dolen lan Wi-Fi, is-rwydwaith Ethernet bach y tu ôl iddi, a chleient VPN penbwrdd sy'n tybio bod popeth sy'n gadael y blwch yn lleol. Mae apiau a lansir yn lleol yn gadael drwy'r llwybr allbwn lleol. Mae dyfeisiau y tu ôl i'r orsaf waith yn cyrraedd y porth Ethernet ac angen penderfyniad anfon ymlaen. Nid yw eithriad a ysgrifennwyd ar gyfer y llwybr cyntaf byth yn gweld yr ail, a dyna pam mae porwr yn osgoi'r twnnel tra nad yw'r dyfeisiau yn gwneud.

Dau lwybr pecyn, un polisi

Y rhes gyntaf yw'r hyn y mae'r rhan fwyaf o ganllawiau split-tunneling yn ei ddisgrifio. Yr ail yw cyfluniad llwybrydd sy'n digwydd byw ar yr un peiriant. Eu huno mewn un model meddwl yw'r camgymeriad; maen nhw'n rhannu cnewyllyn ond nid polisi. Tynnwch y ddau lwybr cyn golygu unrhyw reol, ac mae gweddill y dyluniad yn dilyn o ba lwybr sydd ar goll.

Mae'r tabl hefyd yn esbonio pam y gall un peiriant basio un prawf a methu un arall. Mae porwr ar yr orsaf waith yn profi'r llwybr lleol; mae gliniadur wedi'i blygio i'r porth Ethernet yn profi'r llwybr anfon ymlaen. Dilyswch newid gyda'r ddau, neu bydd yr ail yn aros heb ei brofi faint bynnag o weithiau y bydd y porwr yn cael ei adnewyddu.

Beth mae eithriad ap yn ei ddosbarthu mewn gwirionedd

Mae eithriad fesul ap fel arfer yn gweithio drwy farcio pecynnau o broses neu o ddefnyddiwr, ac yna'n llwybro traffig wedi'i farcio y tu allan i'r twnnel. Mae hwnnw'n ddehongliad allbwn lleol. Nid oes gan becyn o ddyfais i lawr y llinell broses leol, felly nid yw byth yn cyfateb i'r detholydd, beth bynnag yw'r detholydd.

Beth bynnag yw'r detholydd, nid yw'r ddwy restr yr un rhestr, a dyna'r pwynt i gyd. Mae canllaw Mullvad ar gyfer Linux yn disgrifio marciau a ddefnyddir gan ei wal dân a'i bolisi llwybro, ac mae ei enghreifftiau'n targedu allbwn lleol; nid ydynt yn ddisgrifiad a gefnogir o lwybrydd i lawr y llinell. Mae eu copïo'n rhoi peiriant sy'n credu bod ganddo eithriad tra'n anfon popeth i'r twnnel.

Ysgrifennwch y contract tramwy

Enwch ragosodiad y ffynhonnell i lawr y llinell a'r rhyngwyneb mynediad gyda'i gilydd, yna cyfyngwch y rhagosodiad hwnnw yn y fynedfa. Heb y cyfyngiad, gall unrhyw ddyfais sy'n cyrraedd y porth hawlio cyfeiriad wedi'i eithrio a gadael drwy'r osgoi. Triniwch ef fel dau gwestiwn: a gawn y gwesteiwyr hyn ddefnyddio'r ddolen lan hon o gwbl, ac a gânt gyrraedd yr orsaf waith neu ystodau preifat y twnnel? Mae'r rhain yn ganiatâd ychwanegol, nid yn sgîl-effeithiau'r dewis dolen lan.

Caniatáu anfon ymlaen, yna ei hidlo. Mae'r porth Linux angen anfon ymlaen wedi'i alluogi, rheolau sy'n caniatáu'r traffig bwriadedig i'r ddau gyfeiriad, a naill ai llwybr dychwelyd i fyny'r llinell neu drawsnewidiad ffynhonnell wedi'i gwmpasu'n fwriadol. Nid yw NAT ar ei ben ei hun yn dewis y ddolen lan ac nid yw'n rhoi mynediad drwy hidlydd; dim ond ailysgrifennu cyfeiriad ar ôl y penderfyniadau hynny y mae'n ei wneud.

Rhaid i ddosbarthiad ar gyfer tramwy ddigwydd cyn y penderfyniad llwybr anfon ymlaen, sy'n golygu'r cam prerouting yn hytrach nag output. Gall rheol a osodir ar ôl y penderfyniad newid y pecyn o hyd, ond ni all newid i ble yr anfonwyd y pecyn yn barod.

Mae marciau'n perthyn i'r ap sy'n berchen arnynt

Mae gwerthoedd marcio, rhifau tabl a blaenoriaethau cadwyn yn rhan o bolisi'r ap VPN, nid yn gysonion tragwyddol. Bydd rhwydwaith barhaol sy'n dibynnu ar fewnosod rheol mewn tabl y mae rhaglen arall yn ei ailddatblygu yn torri ar y diweddariad nesaf, fel arfer yn ystod ailgysylltu yn hytrach nag ar adeg gyfleus.

Nid yw ychwanegu ail gadwyn sylfaen â dedfryd accept o reidrwydd yn trechu drop cadwyn ddiweddarach. Mae gan gadwynoedd sylfaen fachau a blaenoriaethau, a'r ddedfryd gyntaf yn y drefn sy'n ennill; nid yw accept mewn un gadwyn yn canslo drop y mae cadwyn arall yn ei gyrraedd yn gyntaf. Edrychwch ar y set rheolau gyflawn a threfn y polisi llwybro, nid ar y cownter sengl a gynyddu. Mae cownter yn profi bod rheol wedi rhedeg, byth bod ei dedfryd hi oedd yr un a gymhwyswyd.

Integreiddio, neu symud yr is-rwydwaith

Mae'r dau ddyluniad yn wahanol o ran pwy sy'n berchen ar yr osgoi. Mae dyluniad integredig yn cadw un peiriant ac un polisi, ar gost dibynnu ar gylch bywyd tablau'r ap VPN ac ar set o farciau y gall ei ddogfennaeth eu newid. Mae llwybrydd pwrpasol ar gyfer y rhwydwaith i lawr y llinell yn dileu'r dibyniaeth honno'n llwyr: mae gan yr is-rwydwaith ei ddolen lan ei hun, ac mae'r orsaf waith yn aros yn gleient heb unrhyw rôl anfon ymlaen.

Dewiswch yr ail pan fydd rhaid i'r rhwydwaith i lawr y llinell barhau i weithio drwy ddiweddariadau VPN, neu pan na all neb brofi'r polisi integredig ar ôl pob rhyddhau. Dewiswch y cyntaf dim ond pan fydd yr integreiddiad wedi'i ddogfennu a rhywun yn berchen arno.

Gwiriwch y ffin mewn pedwar cyflwr: cysylltiedig, ailgysylltu, wedi'i rwystro'n fwriadol, a wedi stopio. Gwiriwch ddatrysiad enwau a'r ddwy deulu cyfeiriad o dan bob un, oherwydd nid yw osgoi sy'n gollwng DNS yr eithriad y gwnaethoch ei gynllunio. Dylai'r prawf brofi'r ffin fanwl gywir, nid yn unig bod un dudalen wedi llwytho.