Jätke privaatsed marsruudid alles ja loobuge ümbersuunamisest: OpenVPN-i jaotatud tunnel

Tunnel tõuseb, rakendus laaditakse ja siis hakkab kõik muu sülearvutis imelikult käituma. See on tavaline kuju poliitikast, mis on ainult privaatvõrkudele ja mis on rakendatud ühe rea kustutamisega. Lükatud vaikimisi marsruudi eemaldamine muudab küll seda, kuhu liiklus läheb, aga ei ütle, kuhu liiklus peaks selle asemel minema, ja ei puuduta üldse nimelahendust. Poliitika vajab testimiseks kahte positiivset poolt.

Ümbersuunamise kustutamine on ainult pool muudatusest

Täistunneli ümbersuunamine ja ainult privaatvõrkude poliitika erinevad selle poolest, mida nad maailma kohta väidavad. Ümbersuunamine nõuab iga sihtkohta, samas kui privaatne poliitika nõuab nimekirja ja jätab ülejäänu rahule. Nõude kustutamine ilma nimekirja kirjutamata loob kliendi, mis ei jõua väljapoole kohtvõrku kuhugi, mis näeb välja pigem marsruutimise tõrkena kui poliitika lüngana. Kirjutage nimekiri enne, kui nõude eemaldate, ja nende kahe sammu järjekord lakkab olemast oluline.

Mõlemad pooled on nõuded, mitte vaikeväärtused. Privaatsed prefiksid peavad tunnelisse sisenema ja tavalised sihtkohad peavad säilitama tee, mis neil enne ühendust oli.

Kui organisatsioon nõuab täistunnelit, ei kehti sellest miski. Ainult privaatvõrkude lahendus kuulub juurutustesse, kus jaotatud marsruutimine on heaks kiidetud.

pull-filter on vaste, mitte lüliti

Direktiiv pull-filter eemaldab lükatud valikud, mille nimed vastavad prefiksile, ja see on kõik, mida see teeb. Ümbersuunamise eiramine jätab kõik muud lükatud valikud paigale, mis on tavaliselt see, mida soovite: marsruudid, DNS-i seaded ja marsruudi lüüsi väärtus saabuvad endiselt. See ei saa ka eemaldada kohalikku profiili kirjutatud direktiivi, sest filtreerimine kehtib selle kohta, mida server lükkab.

Vastupanu kiusatusele eirata iga valikut, mis algab sõnaga route. See muster heidab kõrvale ka privaatsed marsruudid, mida ühendus vajab, ja võib kaotada lüüsi teabe, millest tunnel sõltub.

route-nopull on laiem otsus, kui tundub. See takistab kliendil võtta lükatud marsruute ja DHCP-laadseid valikuid vastu grupina, mis on teistsugune poliitika kui ühe valiku väljafiltreerimine.

Kirjutage marsruutide nimekiri rakendusest väljapoole

Alustage sellest, mida kasutaja tegelikult avab, ja lisage siis toetavad osad. Rakendus aadressil 10.60.20.15 eeldab oma alamvõrku 10.60.0.0/16, ja privaatne nimi eeldab lahendajat, mis sellele vastab. Seega vajab kasutaja, kes küsis ühte rakendust, kahte sihtkohta ja ühte DNS-i otsust. Kõik, mis jääb sellest nimekirjast väljapoole, on konstruktsiooni tõttu ulatusest väljas, ja just see hoiab poliitika ülevaatatavana.

Koostööd tegevas serveris saavad neist kaks lükatud marsruuti ja kumbki neist ei ole ümbersuunamine. Säilitage tunneli topoloogia ja marsruudi lüüsi väärtused, mille olemasolev teenus pakub.

Kui seda poliitikat vajavad ainult mõned kasutajad, rakendage seda kliendi või grupi kaupa. Kõigi marsruutimise muutmine, et ühe meeskonna nõuet parandada, on viis, kuidas jaotatud tunnelist saab katkestus.

Laske DNS-il järgida sama teed

Marsruut lahendajani ei ole lahendaja poliitika. systemd-resolved kliendis on semantiline tulemus privaatse nimeruumi marsruutimisdomeen, mis osutab sisemisele lahendajale, ja just see paneb ainult need nimed seda kasutama. Windowsi klient vajab selle asemel oma nimeruumi poliitika mehhanismi. DNS-i serveri rida profiilis ei paigalda kumbagi neist iseenesest.

Kontrollige, mida operatsioonisüsteem valis, mitte seda, mida profiil taotles. Linuxis näitab resolvectl status domeeni ja serverit lingi kohta; Windowsis on nimeruumi poliitika tabel samaväärne tõend.

Hoidke lahendaja tunnelist kättesaadav, muidu osutab poliitika aadressile, mida ei saa küsida. Lahendaja aadress, milleni tunnel ei jõua, muudab töötava poliitika ajalõpuks.

Kontrollige mõlemat poolt uuesti ühendamisel

Ühendage klient pärast muudatust uuesti ja uurige tõhusat marsruuti privaatsele ja avalikule aadressile. Seejärel lahendage privaatne nimi ja avalik nimi ning kinnitage, et kumbki kasutas ettenähtud lahendajat. Avaliku veebisaidi laadimine tõestab ainult teist poolt ja just see pool töötab tavaliselt juhuslikult.

Kirjutage valmis poliitika ühe lausega üles: need prefiksid ja nimed kasutavad seda ühendust, kõik muu järgib kohalikku teed. Seejärel hoidke seda profiilis, selle asemel et pärast igat sisselogimist adapteri seadeid parandada.