Telefon-VPN nach Hause: die Firewall zum Internetausgang machen

Ein Telefon mit dem Heimtunnel zu verbinden und eine LAN-Freigabe zu öffnen beweist, dass der Tunnel funktioniert. Es beweist nicht, dass die Internetanfragen des Telefons das Haus verlassen. Der Unterschied zwischen diesen beiden Ergebnissen ist eine Weiterleitungsrichtlinie plus eine Route, nicht ein weiteres Kontrollkästchen auf dem Telefon. Es ist auch der Unterschied, den die meisten annehmen, bereits konfiguriert zu haben.

Drei Entscheidungen erzeugen den Ausgangspfad: was das Telefon in den Tunnel schickt, wohin das Heim-Gateway es weiterleitet und was passiert, wenn der Tunnel nicht da ist. Jede hat einen Fehlermodus, der auf dem Telefonbildschirm wie die anderen aussieht.

Zwei Sprünge, zwei Richtlinien

Die äußere Verbindung endet am Heim-VPN-Listener. Das innere Paket ist ein separates Objekt, das irgendwohin weitergeleitet werden muss, und Weiterleitung ist eine andere Firewall-Entscheidung als das Annehmen des Tunnels überhaupt.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Auf einem typischen Heimrouter leben diese in verschiedenen Regelsätzen. Den Tunnel anzunehmen ist Eingangsrichtlinie auf der VPN-Schnittstelle; den Verkehr des Telefons ins Internet zu schicken ist Weiterleitungsrichtlinie plus die Quellübersetzung, die der Uplink braucht. Ein Router, der den Tunnel annimmt und nichts weiterleitet, erzeugt ein Telefon, das verbunden anzeigt und keine Seiten lädt.

Läuft der VPN-Dienst auf einem separaten Rechner im Haus, kommt ein Sprung hinzu. Der Router sieht nun Verkehr von diesem Rechner, also gelten seine Regeln für die Adresse des Servers statt für die Tunneladresse des Telefons, und Quellübersetzung kann jedes Telefon wie einen einzigen Host aussehen lassen.

Der Listener ist nicht der Filter

Entscheiden Sie, wo die Durchsetzung stattfindet, solange die Information, die Sie brauchen, noch existiert. Auf dem Router ist die Tunneladresse des Telefons sichtbar und lässt sich direkt abgleichen. Hinter einer zweiten Übersetzung ist sie weg, und Regeln, die für die Adresse des Telefons geschrieben wurden, treffen stillschweigend nichts.

Das ist der übliche Grund, warum eine Richtlinie für den Laptop funktioniert und für das Telefon nicht. Der Laptop verbindet sich direkt mit dem Router, das Telefon verbindet sich mit einem Server, der durch den Router weiterleitet, und nur der erste Pfad bewahrt die Adresse, die die Regel erwartet. Die Regel ist nicht falsch; sie gleicht einen Wert ab, der an dieser Stelle nicht mehr existiert.

Schreiben Sie den Pfad mit der Quelladresse auf, wie sie an jedem Durchsetzungspunkt erscheint. Dieses eine Diagramm löst die meisten dieser Fälle, bevor irgendeine Regel bearbeitet wird.

Was das Telefon tatsächlich senden muss

Ein Telefon, das nur eine Route zum Heimsubnetz erhält, schickt nur den Verkehr dieses Subnetzes in den Tunnel. Alles andere verlässt das Gerät über das Mobilfunknetz, weshalb die Dateifreigabe funktioniert und die Internetanfragen das Haus nie erreichen.

Vollständige Tunnelabdeckung ist eine Routing-Entscheidung auf der Clientseite, und sie muss mit dem von der Plattform unterstützten Mechanismus gesetzt werden, nicht aus dem installierten Profil angenommen. Sobald sie gesetzt ist, muss die Route zurück zum VPN-Server selbst außerhalb des Tunnels bleiben, sonst kann der Client seinen eigenen Transport nicht aufrechterhalten.

DNS verdient eine eigene Entscheidung, weil es der Teil ist, der am wahrscheinlichsten vom übrigen Verkehr abweicht. Eine Resolver-Adresse im Profil ist ein Vorschlag, den Clients unterschiedlich behandeln, und eine Anwendung mit eigenem verschlüsseltem Resolver kann einen völlig getrennten Pfad nehmen. Hängt die Heimrichtlinie davon ab, dass Anfragen einen bestimmten Resolver erreichen, setzen Sie sie dort durch, wo der Verkehr tatsächlich vorbeikommt, oder akzeptieren Sie, dass einige Anfragen es nicht tun. Eine Anfrage, die Ihren Resolver umgeht, erreicht nie eine dafür geschriebene Regel.

IPv6 gehört in denselben Absatz wie DNS, nicht in einen Anhang. Ein vollständiger IPv4-Tunnel sagt nichts über AAAA-Verkehr, und ein Telefon in einem Dual-Stack-Mobilfunknetz nutzt dafür gern den nativen Pfad. Wählen Sie Transport oder Blockierung ausdrücklich.

Was die Firewall sehen kann und was nicht

Das Gateway kann auf das reagieren, was sein Durchsetzungspunkt offenlegt: Adressen, Ports, Protokoll, Schnittstelle und die Metadaten der Verbindung. Eine weitergeleitete HTTPS-Anfrage gibt nicht den Seiteninhalt oder das Kennwort preis, nur weil sie den Heimtunnel durchquert.

Diese Grenze ist es wert, ausgesprochen zu werden, denn die Formulierung „leite es durch die Firewall“ impliziert mehr Inspektion, als ein Heimrouter vornimmt. Eine Zielregel, eine DNS-Richtlinie und ein Proxy auf Anwendungsebene sind drei verschiedene Kontrollen mit drei verschiedenen Einführungskosten.

Nehmen Sie nicht an, dass eine für Heim-LAN-Clients konfigurierte Funktion auch für die VPN-Schnittstelle gilt. Die Zonenzugehörigkeit ist eine Konfigurationsentscheidung, und eine VPN-Schnittstelle, die nicht in der richtigen Zone liegt, erbt keine der Regeln, die Sie vom Sofa aus getestet haben.

Den getrennten Zustand entscheiden

Wenn der Tunnel nicht verfügbar ist, fällt das Telefon entweder auf das Mobilfunknetz zurück oder weigert sich, den Verkehr zu senden. Beides ist vernünftig, und nur eines davon entspricht dem, was die meisten glauben, konfiguriert zu haben.

Der Rückfall ist bequem und leckt per Definition: In dem Moment, in dem der Tunnel wegbricht, verlassen die Anfragen den Pfad des Mobilfunkanbieters. Blockieren ist stärker und macht das Telefon davon abhängig, dass das Haus erreichbar ist, was für Reisende echte Verfügbarkeitskosten bedeutet. Keines der beiden Verhaltensweisen ist ein Fehler; beides sind Produkte, und Sie wählen zwischen ihnen, ob Sie es sagen oder nicht.

Testen Sie die Wahl, statt sie anzunehmen. Stoppen Sie den Heimdienst, versuchen Sie dann eine Anfrage aus dem Browser des Telefons und eine aus einer App, die im Hintergrund läuft. Ein späteres Wiederverbinden macht die bereits abgegangenen Anfragen nicht rückgängig.

Beenden Sie mit zwei kontrollierten Prüfungen vom Telefon selbst: eine erlaubte Aktion, die das Haus durchqueren soll, und eine Ablehnung, die die Heimrichtlinie durchsetzen soll. Bestätigen Sie, dass das Gateway den erwarteten Datenfluss in der erwarteten Adressfamilie nach einem Wiederverbinden protokolliert hat. Ein Telefon, das Verbunden anzeigt, ist der Anfang dieser Prüfung, nie ihr Ende.