Retenu la privatajn vojojn kaj forigu la alidirektadon: OpenVPN disigita tunelo
Tunelo nur por privataj retoj bezonas du regulojn: privataj prefiksoj trapasas ĝin, ordinara retumado konservas sian lokan vojon. Forigi defaŭltan vojon ne estas politiko.
La tunelo ekfunkcias, la aplikaĵo ŝargiĝas, kaj poste ĉio alia sur la tekokomputilo komencas konduti strange. Tio estas la kutima formo de politiko nur por privataj retoj realigita per forigo de unu linio. Forigi puŝitan defaŭltan vojon ja ŝanĝas kien iras la trafiko, sed ĝi ne diras kien la trafiko devus iri anstataŭe, kaj ĝi tute ne tuŝas nomrezolvon. Politiko bezonas du pozitivajn duonojn antaŭ ol ĝi povas esti testata.
Forigi la alidirektadon estas nur duono de la ŝanĝo
Alidirektado de la tuta tunelo kaj politiko nur por privataj retoj malsamas en tio, kion ili asertas pri la mondo. La alidirektado postulas ĉiun celon, dum la privata politiko postulas liston kaj lasas la reston trankvile. Forigi la postulon sen skribi la liston kreas klienton, kiu atingas nenion ekster la loka reto, kio aspektas kiel vojiga misfunkcio prefere ol kiel manko en la politiko. Skribu la liston antaŭ ol forigi la postulon, kaj tiam la ordo de tiuj du paŝoj ĉesas gravi.
Ambaŭ duonoj estas postuloj, ne defaŭltoj. Privataj prefiksoj devas eniri la tunelon, kaj ordinaraj celoj devas konservi la vojon, kiun ili havis antaŭ la konekto.
Se organizo devigas plenan tunelon, nenio el tio validas. La dezajno nur por privataj retoj apartenas al la enkondukoj, kie disigita vojigado estas aprobita.
pull-filter estas kongruo, ne ŝaltilo
La direktivo pull-filter forigas puŝitajn opciojn, kies nomoj kongruas kun prefikso, kaj tion ĝi faras kaj nenion pli. Ignori la alidirektadon lasas ĉiun alian puŝitan opcion surloke, kio estas kutime tio, kion vi volas: vojoj, DNS-agordoj kaj la valoro de voja enirejo ankoraŭ alvenas. Ĝi ankaŭ ne povas forigi direktivon skribitan en la loka profilo, ĉar filtrado validas por tio, kion puŝas la servilo.
Rezistu la tenton ignori ĉiun opcion komenciĝantan per route. Tiu ŝablono ankaŭ forĵetas la privatajn vojojn, kiujn la konekto bezonas, kaj ĝi povas perdi enirejan informon, de kiu la tunelo dependas.
route-nopull estas pli vasta decido, ol ĝi aspektas. Ĝi malhelpas la klienton akcepti puŝitajn vojojn kaj DHCP-stilajn opciojn kiel grupon, kio estas malsama politiko ol filtrado de unu opcio.
Skribu la vojliston de la aplikaĵo eksteren
Komencu de tio, kion la uzanto efektive malfermas, poste aldonu la subtenajn partojn. Aplikaĵo ĉe 10.60.20.15 implicas sian subreton 10.60.0.0/16, kaj privata nomo implicas la solvilon, kiu respondas ĝin. Uzanto, kiu petis unu aplikaĵon, do bezonas du celojn kaj unu DNS-decidon. Ĉio preter tiu listo estas ekster la amplekso laŭkonstrua, kaj tio tenas la politikon revidebla.
Sur kunlabora servilo tiuj fariĝas du puŝitaj vojoj, kaj neniu el ili estas alidirektado. Konservu la tunelan topologion kaj la valorojn de voja enirejo, kiujn la ekzistanta servo liveras.
Kiam nur iuj uzantoj bezonas ĉi tiun politikon, apliku ĝin po kliento aŭ po grupo. Ŝanĝi la vojigadon de ĉiuj por ripari la postulon de unu teamo estas la maniero, kiel disigita tunelo fariĝas interrompo.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
Lasu DNS sekvi la saman vojon
Vojo al la solvilo ne estas solvila politiko. Ĉe systemd-resolved-kliento la semantika rezulto estas vojiga domajno por la privata nomspaco montranta al la interna solvilo, kaj tio igas nur tiujn nomojn uzi ĝin. Windows-kliento bezonas anstataŭe sian propran mekanismon de nomspaca politiko. DNS-servila linio en la profilo instalas neniun el tiuj per si mem.
Kontrolu, kion elektis la operaciumo, anstataŭ kion petis la profilo. En Linux resolvectl status montras la domajnon kaj servilon po ligilo; en Windows la nomspaca politika tabelo estas la ekvivalenta pruvo.
Tenu la solvilon atingebla tra la tunelo, alie la politiko montras al adreso, kiun oni ne povas demandi. Solvila adreso, kiun la tunelo ne atingas, transformas funkciantan politikon en tempolimon.
Kontrolu ambaŭ duonojn ĉe rekonekto
Rekonektu la klienton post la ŝanĝo kaj inspektu la efektivan vojon al privata adreso kaj al publika. Poste solvu privatan nomon kaj publikan nomon kaj konfirmu, ke ĉiu uzis la celitan solvilon. Ŝarĝiĝanta publika retejo pruvas nur la duan duonon, kaj tio estas la duono, kiu kutime funkcias hazarde.
Notu la finitan politikon en unu frazo: ĉi tiuj prefiksoj kaj nomoj uzas ĉi tiun konekton, ĉio alia sekvas la lokan vojon. Poste tenu ĝin en la profilo anstataŭ ripari adaptilajn agordojn post ĉiu ensaluto.