VPN κινητού στο σπίτι: κάντε το τείχος προστασίας έξοδό σας στο διαδίκτυο

Η σύνδεση ενός κινητού στη σήραγγα του σπιτιού και το άνοιγμα ενός διαμοιρασμού αρχείων στο LAN αποδεικνύει ότι η σήραγγα λειτουργεί. Δεν αποδεικνύει ότι τα αιτήματα διαδικτύου του κινητού φεύγουν μέσα από το σπίτι. Η διαφορά μεταξύ των δύο αποτελεσμάτων είναι μια πολιτική προώθησης συν μια διαδρομή, όχι άλλο ένα πλαίσιο ελέγχου στο κινητό. Είναι επίσης η διαφορά που οι περισσότεροι υποθέτουν ότι έχουν ήδη ρυθμίσει.

Τρεις αποφάσεις παράγουν τη διαδρομή εξόδου: τι στέλνει το κινητό στη σήραγγα, πού το προωθεί η πύλη του σπιτιού και τι συμβαίνει όταν η σήραγγα δεν υπάρχει. Κάθε μία έχει έναν τρόπο αποτυχίας που από την οθόνη του κινητού μοιάζει με τους άλλους.

Δύο άλματα, δύο πολιτικές

Η εξωτερική σύνδεση τελειώνει στον ακροατή VPN του σπιτιού. Το εσωτερικό πακέτο είναι ξεχωριστό αντικείμενο που πρέπει να προωθηθεί κάπου, και η προώθηση είναι διαφορετική απόφαση τείχους προστασίας από την αποδοχή της σήραγγας εξαρχής.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Σε ένα τυπικό οικιακό router αυτά ζουν σε διαφορετικά σύνολα κανόνων. Η αποδοχή της σήραγγας είναι πολιτική εισόδου στη διεπαφή VPN· η αποστολή της κίνησης του κινητού στο διαδίκτυο είναι πολιτική προώθησης συν όποια μετάφραση πηγής χρειάζεται η ζεύξη. Ένα router που δέχεται τη σήραγγα και δεν προωθεί τίποτα παράγει κινητό που δείχνει συνδεδεμένο και δεν φορτώνει σελίδες.

Αν η υπηρεσία VPN τρέχει σε ξεχωριστό μηχάνημα μέσα στο σπίτι, προσθέστε ένα άλμα. Το router βλέπει τώρα κίνηση που φτάνει από εκείνο το μηχάνημα, άρα οι κανόνες του εφαρμόζονται στη διεύθυνση του διακομιστή και όχι στη διεύθυνση σήραγγας του κινητού, και η μετάφραση πηγής μπορεί να κάνει κάθε κινητό να μοιάζει με έναν μόνο κεντρικό υπολογιστή.

Ο ακροατής δεν είναι το φίλτρο

Αποφασίστε πού γίνεται η επιβολή όσο η πληροφορία που χρειάζεστε υπάρχει ακόμη. Στο router, η διεύθυνση σήραγγας του κινητού είναι ορατή και μπορεί να αντιστοιχιστεί άμεσα. Πίσω από μια δεύτερη μετάφραση έχει χαθεί, και κανόνες γραμμένοι για τη διεύθυνση του κινητού δεν αντιστοιχίζουν σιωπηλά τίποτα.

Αυτός είναι ο συνήθης λόγος που μια πολιτική δουλεύει για το φορητό και όχι για το κινητό. Το φορητό συνδέεται απευθείας στο router, το κινητό συνδέεται σε διακομιστή που προωθεί μέσω του router, και μόνο η πρώτη διαδρομή διατηρεί τη διεύθυνση που περιμένει ο κανόνας. Ο κανόνας δεν είναι λάθος· αντιστοιχίζει μια τιμή που δεν υπάρχει πια σε εκείνο το σημείο.

Γράψτε τη διαδρομή με τη διεύθυνση πηγής όπως εμφανίζεται σε κάθε σημείο επιβολής. Αυτό το ένα διάγραμμα λύνει τις περισσότερες τέτοιες περιπτώσεις πριν επεξεργαστεί οποιοσδήποτε κανόνας.

Τι πρέπει πραγματικά να στέλνει το κινητό

Ένα κινητό που λαμβάνει μόνο διαδρομή προς το υποδίκτυο του σπιτιού στέλνει στη σήραγγα μόνο την κίνηση αυτού του υποδικτύου. Όλα τα άλλα φεύγουν από το δίκτυο κινητής, γι' αυτό ο διαμοιρασμός αρχείων δουλεύει και τα αιτήματα διαδικτύου δεν φτάνουν ποτέ στο σπίτι.

Η πλήρης κάλυψη σήραγγας είναι απόφαση δρομολόγησης από την πλευρά του πελάτη και πρέπει να οριστεί με τον μηχανισμό που υποστηρίζει η πλατφόρμα, όχι να υποτεθεί από το προφίλ που εγκαθίσταται. Μόλις οριστεί, η διαδρομή επιστροφής στον ίδιο τον διακομιστή VPN πρέπει να μείνει έξω από τη σήραγγα, αλλιώς ο πελάτης δεν μπορεί να διατηρήσει τη δική του μεταφορά.

Το DNS αξίζει δική του απόφαση, γιατί είναι το μέρος που πιθανότατα αποκλίνει από την υπόλοιπη κίνηση. Μια διεύθυνση resolver στο προφίλ είναι μια πρόταση που οι πελάτες τη χειρίζονται διαφορετικά, και μια εφαρμογή με δικό της κρυπτογραφημένο resolver μπορεί να πάρει εντελώς ξεχωριστή διαδρομή. Αν η πολιτική του σπιτιού εξαρτάται από το να φτάνουν τα ερωτήματα σε συγκεκριμένο resolver, επιβάλετέ την εκεί όπου η κίνηση περνά πραγματικά, ή δεχτείτε ότι μερικά ερωτήματα δεν θα το κάνουν. Ένα ερώτημα που παρακάμπτει τον resolver σας δεν φτάνει ποτέ σε κανόνα γραμμένο γι' αυτό.

Το IPv6 ανήκει στην ίδια παράγραφο με το DNS, όχι σε παράρτημα. Μια πλήρης σήραγγα IPv4 δεν λέει τίποτα για κίνηση AAAA, και ένα κινητό σε δίκτυο κινητής με διπλή στοίβα θα χρησιμοποιήσει ευχαρίστως την εγγενή διαδρομή γι' αυτήν. Επιλέξτε μεταφορά ή φραγή ρητά.

Τι μπορεί και τι δεν μπορεί να δει το τείχος προστασίας

Η πύλη μπορεί να δράσει σε ό,τι εκθέτει το σημείο επιβολής της: διευθύνσεις, θύρες, πρωτόκολλο, διεπαφή και τα μεταδεδομένα της σύνδεσης. Ένα προωθημένο αίτημα HTTPS δεν παραδίδει το σώμα της σελίδας ή τον κωδικό μόνο επειδή περνά από τη σήραγγα του σπιτιού.

Αυτό το όριο αξίζει να ειπωθεί, γιατί η φράση «πέρασέ το από το τείχος προστασίας» υπονοεί περισσότερη επιθεώρηση από όση κάνει ένα οικιακό router. Ένας κανόνας προορισμού, μια πολιτική DNS και ένας διακομιστής μεσολάβησης επιπέδου εφαρμογής είναι τρία διαφορετικά μέτρα ελέγχου με τρία διαφορετικά κόστη ανάπτυξης.

Μην υποθέσετε ότι ένα χαρακτηριστικό που ρυθμίστηκε για πελάτες του οικιακού LAN ισχύει για τη διεπαφή VPN. Η συμμετοχή σε ζώνη είναι επιλογή ρύθμισης, και μια διεπαφή VPN που δεν είναι στη σωστή ζώνη δεν κληρονομεί κανέναν από τους κανόνες που δοκιμάσατε από τον καναπέ.

Αποφασίστε την κατάσταση αποσύνδεσης

Όταν η σήραγγα δεν είναι διαθέσιμη, το κινητό είτε επιστρέφει στο δίκτυο κινητής είτε αρνείται να στείλει την κίνηση. Και τα δύο είναι λογικά, και μόνο ένα από αυτά αντιστοιχεί σε ό,τι οι περισσότεροι πιστεύουν ότι έχουν ρυθμίσει.

Η επιστροφή είναι βολική και διαρρέει εξ ορισμού: η στιγμή που πέφτει η σήραγγα είναι η στιγμή που τα αιτήματα φεύγουν από τη διαδρομή του παρόχου. Η φραγή είναι ισχυρότερη και κάνει το κινητό εξαρτημένο από το αν το σπίτι είναι προσβάσιμο, που είναι πραγματικό κόστος διαθεσιμότητας για κάποιον που ταξιδεύει. Καμία από τις δύο συμπεριφορές δεν είναι σφάλμα· και οι δύο είναι προϊόντα, και επιλέγετε ανάμεσά τους είτε το πείτε είτε όχι.

Δοκιμάστε την επιλογή αντί να την υποθέσετε. Σταματήστε την υπηρεσία του σπιτιού και μετά δοκιμάστε ένα αίτημα από το πρόγραμμα περιήγησης του κινητού και ένα από εφαρμογή που τρέχει στο παρασκήνιο. Η επανασύνδεση αργότερα δεν ακυρώνει τα αιτήματα που έχουν ήδη φύγει.

Ολοκληρώστε με δύο ελεγχόμενους ελέγχους από το ίδιο το κινητό: μια επιτρεπόμενη λειτουργία που πρέπει να διασχίσει το σπίτι, και μια άρνηση που η πολιτική του σπιτιού υποτίθεται ότι επιβάλλει. Επιβεβαιώστε ότι η πύλη κατέγραψε τη ροή που περιμένατε, στην οικογένεια διευθύνσεων που περιμένατε, μετά από επανασύνδεση. Ένα κινητό που δείχνει «Συνδεδεμένο» είναι η αρχή αυτής της επαλήθευσης, ποτέ το τέλος της.