VPN ffôn i'r cartref: gwneud y wal dân yn allanfa ryngrwyd

Mae cysylltu ffôn â thwnnel y cartref ac agor rhaniad ffeil LAN yn profi bod y twnnel yn gweithio. Nid yw'n profi bod ceisiadau rhyngrwyd y ffôn yn gadael drwy'r tŷ. Y gwahaniaeth rhwng y ddau ganlyniad yw polisi anfon ymlaen ynghyd â llwybr, nid blwch ticio arall ar y ffôn. Dyma hefyd y gwahaniaeth y mae'r rhan fwyaf o bobl yn tybio eu bod eisoes wedi'i ffurfweddu.

Mae tri phenderfyniad yn cynhyrchu'r llwybr allan: beth mae'r ffôn yn ei anfon i'r twnnel, ble mae porth y cartref yn ei anfon ymlaen, a beth sy'n digwydd pan nad yw'r twnnel yno. Mae gan bob un fodd o fethu sy'n edrych fel y lleill o sgrin y ffôn.

Dau naid, dau bolisi

Mae'r cysylltiad allanol yn gorffen wrth wrandawr VPN y cartref. Mae'r pecyn mewnol yn wrthrych ar wahân y mae'n rhaid ei anfon ymlaen i rywle, ac mae anfon ymlaen yn benderfyniad wal dân gwahanol i dderbyn y twnnel yn y lle cyntaf.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Ar lwybrydd cartref nodweddiadol mae'r rhain yn byw mewn setiau rheol gwahanol. Derbyn y twnnel yw polisi mewnbwn ar y rhyngwyneb VPN; anfon traffig y ffôn allan i'r rhyngrwyd yw polisi anfon ymlaen ynghyd â pha gyfieithiad ffynhonnell bynnag sydd ei angen ar y cyswllt i fyny. Mae llwybrydd sy'n derbyn y twnnel ac yn anfon dim ymlaen yn cynhyrchu ffôn sy'n dangos cysylltiad ac yn llwytho dim tudalennau.

Os yw'r gwasanaeth VPN yn rhedeg ar beiriant ar wahân y tu mewn i'r tŷ, ychwanegwch naid. Nawr mae'r llwybrydd yn gweld traffig yn dod o'r peiriant hwnnw, felly mae ei reolau'n berthnasol i gyfeiriad y gweinydd yn hytrach nag i gyfeiriad twnnel y ffôn, a gall cyfieithiad ffynhonnell wneud i bob ffôn edrych fel un gwesteiwr.

Nid y gwrandawr yw'r hidlydd

Penderfynwch ble mae'r gorfodi'n digwydd tra bod y wybodaeth sydd ei hangen arnoch yn bodoli o hyd. Ar y llwybrydd mae cyfeiriad twnnel y ffôn yn weladwy a gellir ei gyfateb yn uniongyrchol. Y tu ôl i ail gyfieithiad mae wedi mynd, ac mae rheolau a ysgrifennwyd ar gyfer cyfeiriad y ffôn yn cyfateb i ddim yn dawel.

Dyma'r rheswm arferol pam mae polisi'n gweithio i'r gliniadur ac nid i'r ffôn. Mae'r gliniadur yn cysylltu'n uniongyrchol â'r llwybrydd, mae'r ffôn yn cysylltu â gweinydd sy'n anfon ymlaen drwy'r llwybrydd, a dim ond y llwybr cyntaf sy'n cadw'r cyfeiriad y mae'r rheol yn ei ddisgwyl. Nid yw'r rheol yn anghywir; mae'n cyfateb i werth nad yw'n bodoli mwyach yn y fan honno.

Ysgrifennwch y llwybr gyda'r cyfeiriad ffynhonnell fel y mae'n ymddangos ym mhob man gorfodi. Mae'r un diagram hwnnw'n datrys y rhan fwyaf o'r achosion hyn cyn i unrhyw reol gael ei golygu.

Beth mae'n rhaid i'r ffôn ei anfon mewn gwirionedd

Mae ffôn nad yw'n derbyn ond llwybr i is-rwydwaith y cartref yn anfon dim ond traffig yr is-rwydwaith hwnnw i'r twnnel. Mae popeth arall yn gadael dros y rhwydwaith symudol, a dyna pam mae'r rhaniad ffeil yn gweithio ac nad yw'r ceisiadau rhyngrwyd byth yn cyrraedd y tŷ.

Mae sylw twnnel llawn yn benderfyniad llwybro ar ochr y cleient, ac mae'n rhaid ei osod â'r mecanwaith y mae'r platfform yn ei gefnogi, nid ei dybio o'r proffil sy'n cael ei osod. Unwaith y caiff ei osod, mae'n rhaid i'r llwybr yn ôl i'r gweinydd VPN ei hun aros y tu allan i'r twnnel, neu ni all y cleient gynnal ei drafnidiaeth ei hun.

Mae DNS yn haeddu ei benderfyniad ei hun, oherwydd dyma'r rhan sy'n fwyaf tebygol o wyro oddi wrth weddill y traffig. Mae cyfeiriad datryswr yn y proffil yn awgrym y mae cleientiaid yn ei drin yn wahanol, a gall cymhwysiad sydd â'i ddatryswr amgryptiedig ei hun fynd ar lwybr hollol ar wahân. Os yw polisi'r cartref yn dibynnu ar i ymholiadau gyrraedd datryswr penodol, gorfodwch ef lle mae'r traffig yn mynd heibio mewn gwirionedd, neu derbyn na fydd rhai ymholiadau'n gwneud hynny. Nid yw ymholiad sy'n osgoi eich datryswr byth yn cyrraedd rheol a ysgrifennwyd ar ei gyfer.

Mae IPv6 yn perthyn i'r un paragraff â DNS, nid i atodiad. Nid yw twnnel llawn IPv4 yn dweud dim am draffig AAAA, a bydd ffôn ar rwydwaith symudol deu-stack yn defnyddio'r llwybr brodorol ar ei gyfer yn llawen. Dewiswch gario neu rwystro yn eglur.

Beth all y wal dân ei weld a beth na all

Gall y porth weithredu ar yr hyn y mae ei fan gorfodi yn ei ddatgelu: cyfeiriadau, porthladdoedd, protocol, rhyngwyneb, a metadata'r cysylltiad. Nid yw cais HTTPS a anfonir ymlaen yn ildio corff y dudalen na'r cyfrinair dim ond oherwydd ei fod yn croesi twnnel y cartref.

Mae'r terfyn hwnnw'n werth ei nodi oherwydd bod yr ymadrodd «anfonwch ef drwy'r wal dân» yn awgrymu mwy o archwiliad nag y mae llwybrydd cartref yn ei wneud. Mae rheol gyrchfan, polisi DNS a dirprwy haen cymhwysiad yn dri rheolydd gwahanol â thri chost defnyddio gwahanol.

Peidiwch â thybio bod nodwedd a ffurfweddwyd ar gyfer cleientiaid LAN y cartref yn berthnasol i'r rhyngwyneb VPN. Mae aelodaeth parth yn ddewis ffurfweddu, ac nid yw rhyngwyneb VPN nad yw yn y parth cywir yn etifeddu unrhyw un o'r rheolau a brofwyd gennych o'r soffa.

Penderfynwch ar y cyflwr datgysylltiedig

Pan nad yw'r twnnel ar gael, mae'r ffôn naill ai'n dychwelyd i'r rhwydwaith symudol neu'n gwrthod anfon y traffig. Mae'r ddau'n rhesymol, a dim ond un ohonynt sy'n cyfateb i'r hyn y mae'r rhan fwyaf o bobl yn credu iddynt ei ffurfweddu.

Mae dychwelyd yn gyfleus ac yn gollwng yn ôl diffiniad: y munud y bydd y twnnel yn cwympo yw'r munud y bydd ceisiadau'n gadael ar hyd llwybr y cludwr. Mae rhwystro'n gryfach ac yn gwneud y ffôn yn ddibynnol ar y tŷ yn bod yn gyraeddadwy, sy'n gost argaeledd wirioneddol i rywun sy'n teithio. Nid yw'r naill ymddygiad na'r llall yn nam; cynhyrchion yw'r ddau, a chi sy'n dewis rhyngddynt p'un a ddywedwch chi hynny ai peidio.

Profwch y dewis yn hytrach na'i dybio. Ataliwch wasanaeth y cartref, yna rhowch gynnig ar un cais o borwr y ffôn ac un o gymhwysiad sy'n rhedeg yn y cefndir. Nid yw ailgysylltu'n ddiweddarach yn dadwneud y ceisiadau sydd eisoes wedi gadael.

Gorffennwch gyda dau wiriad rheoledig o'r ffôn ei hun: un llawdriniaeth a ganiateir a ddylai groesi'r tŷ, ac un gwrthodiad y mae polisi'r cartref i fod i'w orfodi. Cadarnhewch fod y porth wedi cofnodi'r llif y gwnaethoch ei ddisgwyl, yn y teulu cyfeiriadau y gwnaethoch ei ddisgwyl, ar ôl ailgysylltu. Mae ffôn sy'n dangos Cysylltiedig yn ddechrau'r gwiriad hwnnw, byth yn ddiwedd.