Allavoolu alamsuund ja töölaua VPN: välista läbivool, mitte rakendused

Üks masin, kaks tööd, üks tulemüür: Wi-Fi ühendus üles, selle taga väike Etherneti alamsuund ja töölaua VPN klient, mis eeldab, et kõik masinast väljuv on kohalik. Kohapeal käivitatud rakendused väljuvad kohaliku väljundtee kaudu. Tööjaama taga olevad seadmed saabuvad Etherneti pordile ja vajavad edastusotsust. Esimese tee jaoks kirjutatud erand ei näe kunagi teist ja seetõttu möödub brauser tunnelist, seadmed aga mitte.

Kaks paketiteed, üks poliitika

Esimene rida on see, mida enamik split-tunnelingi juhendeid kirjeldab. Teine on ruuteri konfiguratsioon, mis juhtub elama samas masinas. Nende ühendamine üheks vaimseks mudeliks on viga; nad jagavad tuuma, kuid mitte poliitikat. Joonistage mõlemad teed enne mis tahes reegli muutmist ja ülejäänud disain tuleneb sellest, milline tee puudub.

Tabel selgitab ka, miks üks masin võib ühe testi läbida ja teise mitte. Tööjaama brauser tõestab kohalikku teed; Etherneti porti ühendatud sülearvuti tõestab edastusteed. Valideerige muudatust mõlemaga, muidu jääb teine testimata, ükskõik kui mitu korda brauserit värskendada.

Mida rakenduse erand tegelikult liigitab

Rakendusepõhine erand toimib tavaliselt nii, et märgistatakse protsessi või kasutaja paketid ja seejärel suunatakse märgistatud liiklus tunnelist välja. See on kohaliku väljundi konstruktsioon. Allavoolu seadme paketil pole kohalikku protsessi, seega ei vasta see kunagi selektorile, ükskõik milline selektor ka poleks.

Ükskõik milline selektor ka poleks, need kaks nimekirja ei ole sama nimekiri ja see ongi mõte. Mullvadi Linuxi juhend kirjeldab märke, mida tarbib tema tulemüür ja marsruutimispoliitika, ning tema näited sihivad kohalikku väljundit; need ei ole allavoolu ruuteri toetatud kirjeldus. Nende kopeerimine annab masina, mis arvab, et tal on erand, samal ajal kui edastab kõik tunnelisse.

Kirjutage läbivoolu leping

Nimetage allavoolu lähteprefiks ja sissevoolu liides koos ning piirake seejärel seda prefiksit sissevoolul. Piiranguta võib iga seade, mis porti jõuab, nõuda erandlikku aadressi ja lahkuda möödasõidu kaudu. Käsitlege seda kahe küsimusena: kas need hostid tohivad seda ühendust üldse kasutada ja kas nad tohivad jõuda tööjaama või tunneli privaatsetesse vahemikesse? Need on lisaload, mitte ühenduse valiku kõrvalmõjud.

Lubage edastamine ja seejärel filtreerige seda. Linuxi lüüs vajab sisselülitatud edastamist, reegleid, mis lubavad kavandatud liiklust mõlemas suunas, ja kas ülesvoolu tagasiteed või teadlikult piiratud lähteteisendust. NAT üksi ei vali ühendust ega anna läbipääsu filtrist; see kirjutab aadressi ümber alles pärast neid otsuseid.

Läbivoolu liigitamine peab toimuma enne edastusmarsruudi otsust, mis tähendab prerouting-etappi, mitte outputi. Pärast otsust paigutatud reegel võib paketti veel muuta, kuid ei saa muuta seda, kuhu pakett on juba saadetud.

Märgid kuuluvad rakendusele, kes neid omab

Märgiväärtused, tabelinumbrid ja ahelate prioriteedid on VPN-rakenduse poliitika osa, mitte igavesed konstandid. Vastupidav võrk, mis sõltub reegli sisestamisest tabelisse, mille teine programm uuesti genereerib, läheb järgmisel uuendusel katki, tavaliselt taasühendumise ajal, mitte sobival hetkel.

Teise baasahela lisamine accept-otsusega ei tühista tingimata hilisema ahela dropi. Baasahelatel on konksud ja prioriteedid ning järjestuses esimene otsus võidab; accept ühes ahelas ei tühista dropi, milleni teine ahel jõuab varem. Vaadake tervet reeglistikku ja marsruutimispoliitika järjekorda, mitte üht suurenenud loendurit. Loendur tõestab, et reegel töötas, mitte kunagi seda, et just selle otsus rakendus.

Integreerige või viige alamsuund mujale

Kaks disaini erinevad selle poolest, kes möödasõitu omab. Integreeritud disain hoiab ühte masinat ja üht poliitikat, hinnaga sõltuvus VPN-rakenduse tabelite elutsüklist ja märkide hulgast, mida selle dokumentatsioon võib muuta. Allavoolu võrgu jaoks eraldi ruuter eemaldab selle sõltuvuse täielikult: alamsuunnal on oma ühendus üles ja tööjaam jääb kliendiks, kellel pole edastusrolli.

Valige teine, kui allavoolu võrk peab VPN-i uuenduste ajal edasi töötama, või kui keegi ei saa integreeritud poliitikat pärast iga väljalaset testida. Valige esimene ainult siis, kui integratsioon on dokumenteeritud ja keegi selle eest vastutab.

Kontrollige piiri neljas olekus: ühendatud, taasühendumine, teadlikult blokeeritud ja peatatud. Kontrollige nime lahendamist ja mõlemat aadressiperekonda igaühe all, sest möödasõit, mis lekitab DNS-i, ei ole erand, mille te kavandasite. Test peaks tõestama täpset piiri, mitte ainult seda, et üks leht laadis.