Sut mae tunelu hollt yn penderfynu pa draffig sy'n defnyddio'r VPN

Polisi llwybro a fynegir fel casgliad o reolau yw tunelu hollt, ac y cleient yn unig yw'r peth sy'n eu gosod. Mae'r gwahanu'n digwydd mewn dau le: rheolau cyfateb sy'n dewis llwybr ar gyfer pob pecyn, a rhwymiadau sy'n dal cymhwysiad i un rhyngwyneb beth bynnag y dywed y tabl. Pa fecanwaith y dibynna eich cleient arno sy'n esbonio'r rhan fwyaf o'r syndod y mae pobl yn eu riportio.

Mae polisi y gellir ei ddatgan mewn un llinell yn brofadwy. Nid yw polisi a ddisgrifiwr fel pori'n gyflymach, ac ni fydd yn dweud pa reol i'w newid pan aiff cais y ffordd anghywir.

Y cleient yn gosod rheolau, y cnewyllyn yn gwneud y dewis

Pan ddaw'r tunelu i fyny, mae'r cleient yn ychwanegu llwybrau ac yn aml reolau polisi i'r tabl a defnyddiwyd gan eich rhyngwynebau eraill. Yna mae pob pecyn yn cyrraedd chwiliad sy'n cymharu ei gyrchfan â phob rhagddodiad ymgeisydd ac yn cadw'r paru mwyaf penodol, tra bo blaenoriaeth yn setlo'r cysylltiadau rhwng rheolau sy'n pwyntio at wahanol dablau. Nid oes dim yn y chwiliad hwnnw'n gwybod bod y pecyn wedi dod o dab porwr yn hytrach na swydd wrth gefn. Y reol sy'n ennill yw'r un sy'n pennu'r llwybr, a gallwch ei darllen cyn ac ar ôl y newid.

Dyna pam y gall tunelu hollt edrych yn mympwyol. Gall dwy gyrchfan mewn un cymhwysiad gymryd llwybrau gwahanol yn syml oherwydd bod un rhagddodiad yn gulach na'r llall.

Mae'r dewis hwn yn bodoli ar bob platfform, er bod yr enwau'n newid. Mae Windows yn gwthio'r penderfyniad i'w blatfform hidlo, mae Android yn datgelu rhestr ganiatau fesul ap drwy ei wasanaeth VPN, ac mae macOS yn cysylltu'r tunelu wrth ddyfais sy'n dal i ufuddhau i'r tabl llwybro. Nodiadau llwybro Microsoft yn werth eu darllen ar gyfer achos Windows, ac anaml y trosglwyddir canllaw a ysgrifennwyd ar gyfer un platfform i un arall heb ei newid.

Rhwymo fesul ap a rhagddodiadau cyrchfan yw offer gwahanol

Mae polisi cyrchfan yn gofyn i ble mae'r pecyn yn mynd ac yn ymgynghori â'r tabl llwybrau neu reol bolisi. Mae polisi fesul ap yn gofyn pa raglen agorodd y soced, ac mae'r platfform yn cadw'r rhaglen honno ar ryngwyneb y tunelu hyd yn oed pan bwyntia llwybr mwy penodol i rywle arall. Yr ail yn gryfach oherwydd ei fod yn goroesi newidiadau tabl, ond mae'n cwmpasu dim ond prosesau y gall y platfform eu priodoli. Efallai na fydd proses gynorthwyol, porwr mewnosodol, neu wasanaeth sy'n agor ei gysylltiad ei hun yn etifeddu'r rhwymiad y tybioch chi.

Nid yw'r un o'r ddau ddull yn goroesi polisi yn seiliedig ar enwau heb gymorth. Mae cyrchfannau safleoedd mawr yn cylchdroi ar draws rhwydweithiau cynnwys, felly mae pinio enw gwesteiwr i ychydig o ragododiadau yn cynhyrchu rheol sy'n dawel yn peidio â chyfateb. Mae polisi sy'n gorfod dilyn enwau angen cydran ymwybodol o'r datryswydd yn lle llwybr statig.

DNS a'r switsh diogelwch yn dilyn eu rheolau eu hunain

Penderfyniad ar wahân i lwybro pecytiau yw datrys enwau, ac mae tunelu hollt fel arfer yn dymuno dau ddatryswydd: un y cwmni ar gyfer enwau mewnol, un lleol ar gyfer popeth arall. Gall y cleient osod gosodiadau DNS fesul rhyngwyneb, trosglwyddo ymholiadau i ddatryswydd to, neu adael rhagosodiad y system heb ei gyffwrdd. Mae porwr sydd â'i ddatryswydd amgryptiedig ei hun yn osgoi'r tair trefniant. Profwch ymholiad yn lle tybio bod y datryswydd wedi dilyn y llwybr.

Mae switsh diogelwch yn ychwanegu hidlydd ar y brig, ac nid yw'r hidlydd hwnnw bob amser yn gwahaniaethu eithriad bwriedig oddi wrth ollyngiad damweiniol. Mae rhai cleientiaid yn rhwystro popeth y tu allan i'r tunelu tra bo eraill yn caniatáu'r eithriadau y mae'r polisi'n eu datgan, felly darllenwch pa ymddygiad y mae eich un chi'n ei roi cyn dibynnu ar y naill na'r llall.

Archwiliwch y rhaniad o'r ddwy ochr

Profwch y llwybr sydd wedi'i gynnwys a'r llwybr sydd wedi'i eithrio ar wahân, a barnwch y canlyniad wrth enw'r rhyngwyneb yn hytrach nag wrth gyfeiriad cyhoeddus. Mae'r gorchmynion hyn yn cymryd bod gwesteiwr Linux â dyfais y tunelu eisoes i fyny. Disodlwch 203.0.113.10 â chyrchfan y mae eich polisi'n ei llwybro tu mewn, a 198.51.100.25 ag un y mae'n ei hanfon tu allan.

ip route get 203.0.113.10
ip route get 198.51.100.25
resolvectl query intranet.example.com
curl -s --interface tun0 https://example.com -o /dev/null -w '%{http_code}\n'

Darllenwch y ddau ateb cyntaf gyda'i gilydd, oherwydd mae'r rhyngwyneb a enwir ym mhob un yn dangos a roddodd y rhaniad y gyrchfan honno ar y tunelu. Mae ymholiad y datryswydd yn dangos pa weinydd atebodd yr enw mewnol, ac mae'r gorchymyn olaf yn profi bod dyfais y tunelu'n gallu cario cais o gwbl. Mae methiant ar yr ail linell tra bo'r gyntaf yn llwyddo'n golygu bod y polisi'n gwneud yn union yr hyn a ddywedwyd wrtho.

Ailadroddwch y set ar ôl ailgysylltu ac ar ôl newid rhwydwaith. Adnewyddiad prydlon a throi rhyngwynebau yw'r mannau lle mae rhaniad yn peidio â chyfateb â'r bwriad y cafodd ei adeiladu ar ei gyfer, ac mae allbwn a gadwyd o bob rhediad yn gwneud y drifft yn amlwg.