Rheolau VPN ar y llwybrydd: paru’r ffynhonnell a’r gyrchfan

Mae tudalennau siopa llwybryddion yn rhoi llwybro VPN fel un blwch ticio, ac mae’r ymadrodd yn cuddio tri chwestiwn gwahanol. A yw’r rheol yn cydweddu â’r ddyfais sy’n anfon y traffig, â’r gweinydd sy’n ei dderbyn, neu â’r ddau? Beth sy’n digwydd i draffig nad yw’n cydweddu â’r naill na’r llall? A phan fydd dwy reol yn gorgyffwrdd, pa un sy’n ennill? Mae ysgrifennu’r ateb fel pâr o ffynhonnell a chyrchfan yn troi rhestr nodweddion niwlog yn ddyluniad gellir ei brofi.

Mae enw’r nodwedd yn cuddio dau ben

Mae chwaraewr cyfryngau a ddylai ddefnyddio’r twnnel yn gyfatebiaeth ffynhonnell. Mae rhagddodiad swyddfa breifat a ddylai fod yn gyrraeddadwy trwy’r twnnel yn gyfatebiaeth cyrchfan. Mae gorsaf waith a ddylai ddefnyddio’r twnnel ar gyfer un gwasanaeth yn unig yn y ddau, a’r groestoriad honno yw yr achos y mae’r rhan fwyaf o gadarnwedd y defnyddiwr yn ei drin yn wael.

Ysgrifennwch y gofyniad fel pâr cyn cymharu cynnyrch. Y pâr yw’r hyn y byddwch yn ei brofi yn ddiweddarach.

Efallai na all cynnyrch sy’n cynnig rhestr dyfeisiau neu restr gyrchfannau fyd-eang fynegi «dim ond y ddyfais hon, dim ond y cyrchfannau hyn». Nid yw’r bwlch yn gosmétig: mae rheol gyrchfan fyd-eang yn anfon traffig pob dyfais i’r safle hwnnw trwy’r twnnel, ac mae rheol dyfais yn anfon holl draffig y ddyfais honno. Nid yw’r naill na’r llall yn y gofyniad. Profwch yr achos hwnnw gyda dwy ddyfais cyn ymddiried yn y sgrin.

Adeiladwch y rheol fel croestoriad

Mae tabl yn cadw’r dyluniad yn onest. Rhowch y senario ar y chwith, yna enwch y gyfatebiaeth anfonwr a’r gyfatebiaeth darged ar wahân:

Y drydedd rhes yw’r un ddiddorol, oherwydd mae arni angen y ddwy hanner ar unwaith. Os na all y cadarnwedd fynegi ond un echel, rhaid rhannu’r gofyniad yn ddwy reol neu ei symud i ddyfais a all wneud hynny.

Cadwch hunaniaeth y ffynhonnell yn sefydlog. Mae archeb DHCP, segment pwrpasol neu fecanwaith hunaniaeth dyfais i gyd yn gweithio, ond nid yw cyfeiriad sy’n newid ar ôl i’r les ddod i ben yn gweithio. Cynhwyswch IPv6, oherwydd nid yw un cyfeiriad IPv4 yn nodi holl draffig dyfais.

Blaenoriaeth sy’n penderfynu’r gorgyffwrdd

Mae rheolau’n gorgyffwrdd yn normal. Gall rheol ddyfais eang a rheol gyrchfan gul ddisgrifio un llif, a’r drefn flaenoriaeth a ddogfennwyd sy’n penderfynu pa un sy’n ennill. Nid yw sgrin gosodiadau deniadol yn dweud y drefn honno wrthych.

Darllenwch y llawlyfr ar gyfer y drefn a’r achos heb gyfatebiaeth, yna profwch y ddau â thraffig y gallwch ei arsylwi:

ip rule show
ip route get 203.0.113.10

Os nad yw’r ddogfennaeth yn nodi’r drefn, tybiwch efallai na fydd y rheol gulach yn ennill a dyluniwch o’i chwmpas. Mae dwy reol na allant wrthdaro yn haws eu cynnal na rheol glyfar gyda blaenoriaeth heb ei dogfennu.

Mae enwau angen polisi adnewyddu

Mae cyrchfan a ysgrifennwyd fel parth yn ychwanegu problem cynnal a chadw. Rhaid i’r llwybrydd ei datrys, adnewyddu’r mapio, trin cyfeiriadau lluosog ac is-barthau, a chopiau â DNS cymwysiadau sy’n osgoi’r datryswr a ddisgwylir.

Mae copïo un canlyniad chwilio i reol IP yn snapshot, nid yn bolisi parth.

Penderfynwch pa mor hen y gall ateb fod cyn bod y rheol yn anghywir, a beth mae’r llwybrydd yn ei wneud pan fydd datrysiad yn methu. Gall rheol sy’n cadw’r cyfeiriad hysbys olaf oroesi mudo gwasanaeth; gall rheol sy’n gollwng y cofnod atal tunnellu’n dawel. Mae’r naill ymddygiad neu’r llall yn dderbyniol os yw wedi’i ysgrifennu wrth ymyl y rheol.

Diffiniwch y cyflwr sydd ddim ar gael

Nid yw ffafriaeth llwybr yn gorfodi traffig sy’n mynd trwy VPN yn unig. Pan fydd y twnnel i lawr, gall y llwybrydd rwystro’r llif, ei anfon yn uniongyrchol neu ddefnyddio twnnel arall, ac mae gan bob dewis ôl-fai gwahanol.

Penderfynwch pa un y mae’r gofyniad ei angen, yna dilyswch trwy stopio’r twnnel a gwylio’r llif:

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10

Mae traffig sy’n deillio o’r llwybrydd ei hun yn gwmpas ar wahân. Gall anfon DNS, gwiriadau diweddaru a monitro ddechrau llifau newydd o’r llwybrydd ei hun yn lle etifeddu cyfatebiaeth ffynhonnell y ddyfais. Cyfrifwch am y llifau hynny’n benodol, neu byddant yn ymddangos fel gollyngiadau heb eu hesbonio yn y logiau.