Kiel disigita tunelo decidas, kiun trafikon uzas la VPN

Disigita tunelo estas itinerada politiko esprimita kiel aro da reguloj, kaj la kliento estas nur tio, kio instalas ilin. La disigo okazas en du lokoj: kongruantaj reguloj, kiuj elektas vojon por ĉiu pako, kaj ligiloj, kiuj tenas aplikaĵon sur unu interfaco kion ajn diras la tabelo. Kiun mekanismon via kliento fidas, klarigas la plejmulton de la surprizoj, kiujn homoj raportas.

Politiko, kiun vi povas esprimi en unu linio, estas testebla. Politiko priskribita kiel pli rapida retumi ne estas, kaj ĝi ne diros al vi, kiun regulon ŝanĝi, kiam peto iras la malĝustan vojon.

La kliento instalas regulojn, la kerno faras la elekton

Kiam la tunelo ekfunkcias, la kliento aldonas itinerojn kaj ofte politikajn regulojn al la sama tabelo, kiun uzas viaj aliaj interfacoj. Ĉiu pako tiam atingas serĉon, kiu komparas ĝian celon kun ĉiu kandidata prefikso kaj tenas la plej specifan kongruon, dum prioritato solvas egalojn inter reguloj, kiuj montras al malsamaj tabeloj. Nenio en tiu serĉo scias, ke la pako venis el retumila langeto anstataŭ el savlaboro. La regulo, kiu venkas, estas tiu, kiu fiksas la vojon, kaj vi povas legi ĝin antaŭ kaj post la ŝanĝo.

Tial disigita tunelo povas ŝajni arbitra. Du celoj en unu aplikaĵo povas iri malsamajn vojojn simple ĉar unu prefikso estas pli mallarĝa ol la alia.

La sama elekto ekzistas sur ĉiu platformo, kvankam la nomoj ŝanĝiĝas. Windows puŝas la decidon en sian filtran platformon, Android elmontras permesliston por ĉiu aplikaĵo tra sia VPN-servo, kaj macOS ligas la tunelon al aparato, kiu ankoraŭ obeas la itineradan tabelon. La itineradaj notoj de Microsoft indas legi por la Windows-kazo, kaj gvidilo verkita por unu platformo malofte transiĝas senŝanĝe al alia.

Ligo por ĉiu aplikaĵo kaj celfiksaj prefiksoj estas malsamaj iloj

Politiko pri celo demandas, kien iras la pako, kaj konsultas la itineradan tabelon aŭ politikan regulon. Politiko por ĉiu aplikaĵo demandas, kiun programon malfermis la konektilon, kaj la platformo tenas tiun programon sur la tunela interfaco eĉ kiam pli specifa itinerado montras aliloken. La dua estas pli fortika ĉar ĝi postvivas tabelajn ŝanĝojn, sed ĝi kovras nur procesojn, kiujn la platformo povas atribui. Helpproceso, enkonstruita retumilo, aŭ servo, kiu malfermas propran ligon, eble ne heredas la ligon, kiun vi supozis.

Neniu el la du aliroj postvivas nom-bazitan politikon sen helpo. Adresoj de grandaj retejoj rotacias tra enhavretoj, do palumi gastigantan nomon al kelkaj prefiksoj produktas regulon, kiu silenteme ĉesas kongrui. Politiko, kiu devas sekvi nomojn, bezonas komponanton konscian pri solvilo anstataŭ statika itinerado.

DNS kaj la sekureca ŝaltilo sekvas siajn proprajn regulojn

Noma rezolucio estas aparta decido disde paka itinerado, kaj disigita tunelo kutime volas du solvilojn: la firmaan por internaj nomoj, la loka por ĉio alia. La kliento povas instali DNS-agordojn por ĉiu interfaco, doni demandojn al peranta solvilo aŭ lasi la sistema impliciton netuŝita. Retumilo kun propra ĉifrita solvilo preterpasas ĉiujn tri aranĝojn. Testu serĉon anstataŭ supozi, ke la solvilo sekvis la itineron.

Sekureca ŝaltilo aldonas filtrilon supre, kaj tiu filtrilo ne ĉiam distingas intencitan ekskludon de akcidenta liko. Iuj klientoj baras ĉion ekster la tunelo, dum aliaj permesas la ekskludojn, kiujn la politiko deklaras, do legu, kiun konduton via efektivigas antaŭ ol fidi iun el la du.

Kontrolu la disigon de ambaŭ flankoj

Testu la inkluzivitan vojon kaj la ekskluzivitan vojon aparte, kaj juĝu la rezulton per interfaca nomo anstataŭ per publika adreso. Ĉi tiuj komandoj supozas Linux-gastiganton kun la tunela aparato jam supre. Anstataŭigu 203.0.113.10 per celo, kiun via politiko itineras internen, kaj 198.51.100.25 per unu, kiun ĝi sendas eksteren.

ip route get 203.0.113.10
ip route get 198.51.100.25
resolvectl query intranet.example.com
curl -s --interface tun0 https://example.com -o /dev/null -w '%{http_code}\n'

Legu la unuajn du respondojn kune, ĉar la interfaco nomita en ĉiu montras, ĉu la disigo metis tiun celon sur la tunelon. La solvila demando montras, kiu servilo respondis pri la interna nomo, kaj la lasta komando pruvas, ke la tunela aparato entute povas porti peton. Malsukceso sur la dua linio dum la unua sukcesas signifas, ke la politiko faras ekzakte tion, kion oni diris al ĝi.

Ripetu la aron post rekonkto kaj post reta ŝanĝo. Luka renovigo kaj interfaca ŝanceliĝo estas tie, kie disigo ĉesas kongrui kun la intenco, por kiu ĝi estis konstruita, kaj konservita eligo el ĉiu rulto evidentigas la drifton.