Telefoni VPN koju: tee tulemüübist oma internetiväljapääs

Telefoni koduse tunneliga ühendamine ja LAN-failijagamise avamine tõestab, et tunnel töötab. See ei tõesta, et telefoni internetipäringud väljuvad läbi maja. Nende kahe tulemuse vahe on edastuspoliitika pluss marsruut, mitte veel üks märkeruut telefonis. See on ka vahe, mille enamik inimesi eeldab, et on juba seadistanud.

Väljapääsutee loovad kolm otsust: mida telefon tunnelisse saadab, kuhu kodune lüüs selle edastab ja mis juhtub, kui tunnelit ei ole. Igal on rikkerežiim, mis telefoni ekraanilt näeb välja nagu teistel.

Kaks hüpet, kaks poliitikat

Väline ühendus lõpeb koduse VPN-kuulaja juures. Sisemine pakett on eraldi objekt, mis tuleb kuhugi edastada, ja edastamine on teine tulemüüriotsus kui tunneli vastuvõtmine üldse.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Tüüpilisel koduruuteril elavad need erinevates reeglistikes. Tunneli vastuvõtmine on sisendpoliitika VPN-liidesel; telefoni liikluse internetti saatmine on edastuspoliitika pluss see lähteport, mida ühendus vajab. Ruuter, mis võtab tunneli vastu ega edasta midagi, annab telefoni, mis näitab ühendust ja ei laadi ühtegi lehte.

Kui VPN-teenus töötab maja sees eraldi masinas, lisa hüpe. Ruuter näeb nüüd sellelt masinalt tulevat liiklust, seega kehtivad tema reeglid serveri aadressile, mitte telefoni tunneli aadressile, ja lähteport võib panna iga telefoni paistma ühe hostina.

Kuulaja ei ole filter

Otsusta, kus jõustamine toimub, seni kuni vajalik teave veel olemas on. Ruuteril on telefoni tunneli aadress nähtav ja seda saab otse sobitada. Teise tõlke taga on see kadunud ja telefoni aadressile kirjutatud reeglid ei sobi vaikselt millegagi.

See on tavaline põhjus, miks poliitika töötab sülearvutiga, aga mitte telefoniga. Sülearvuti ühendub ruuteriga otse, telefon ühendub serveriga, mis edastab ruuteri kaudu, ja ainult esimene tee säilitab aadressi, mida reegel ootab. Reegel ei ole vale; see sobitab väärtust, mida selles punktis enam ei ole.

Kirjuta tee üles lähteaadressiga nii, nagu see igas jõustamispunktis paistab. See üks skeem lahendab enamiku sellistest juhtumitest enne, kui ühtegi reeglit muudetakse.

Mida telefon tegelikult saatma peab

Telefon, mis saab ainult marsruudi koduse alamsuuna, saadab tunnelisse ainult selle alamsuuna liikluse. Kõik muu lahkub mobiilivõrgu kaudu, seepärast failijagamine töötab ja internetipäringud ei jõua kunagi majja.

Täielik tunnikate on kliendipoolne marsruudiotsus ja see tuleb seada platvormi toetatud mehhanismiga, mitte eeldada paigaldatavast profiilist. Kui see on seatud, peab tagasitee VPN-serveri enda juurde jääma tunnelist väljapoole, muidu ei saa klient oma transporti hoida.

DNS väärib omaette otsust, sest see on osa, mis kõige tõenäolisemalt erineb ülejäänud liiklusest. Profiilis olev resolveri aadress on soovitus, mida kliendid käsitlevad erinevalt, ja rakendus oma krüpteeritud resolveriga võib minna täiesti eraldi teed. Kui kodune poliitika sõltub sellest, et päringud jõuaksid kindla resolverini, jõusta seda seal, kus liiklus tegelikult läbib, või lepi sellega, et mõned päringud ei jõua. Päring, mis möödub sinu resolverist, ei jõua kunagi selle jaoks kirjutatud reeglini.

IPv6 kuulub samasse lõiku nagu DNS, mitte lisasse. Täielik IPv4 tunnel ei ütle AAAA-liikluse kohta midagi ja telefon kahekordse virnaga mobiilivõrgus kasutab selle jaoks hea meelega päris teed. Vali kandmine või blokeerimine selgelt.

Mida tulemüür näeb ja mida mitte

Lüüs saab tegutseda selle põhjal, mida tema jõustamispunkt paljastab: aadressid, pordid, protokoll, liides ja ühenduse metaandmed. Edastatud HTTPS-päring ei anna lehe sisu ega parooli üle ainult sellepärast, et see läbib kodust tunnelit.

See piir tasub välja öelda, sest fraas «saada see tulemüürist läbi» eeldab rohkem kontrolli, kui koduruuter teeb. Sihtkoha reegel, DNS-poliitika ja rakenduskihi puhverserver on kolm erinevat juhtimisvahendit kolme erineva kasutuselevõtukuluga.

Ära eelda, et koduse LAN-i klientidele seadistatud funktsioon kehtib VPN-liidesele. Tsoonikuuluvus on seadistusvalik ja VPN-liides, mis ei ole õiges tsoonis, ei päri ühtegi reeglit, mida sa diivanilt testisid.

Otsusta ühenduseta olek

Kui tunnel pole saadaval, kas langeb telefon tagasi mobiilivõrku või keeldub liiklust saatmast. Mõlemad on mõistlikud ja ainult üks neist vastab sellele, mida enamik inimesi usub end seadistanud olevat.

Tagasilangemine on mugav ja lekib definitsiooni järgi: hetk, mil tunnel langeb, on hetk, mil päringud väljuvad operaatori teed. Blokeerimine on tugevam ja teeb telefoni sõltuvaks maja kättesaadavusest, mis on reisijale tõeline käideldavuskulu. Kumbki käitumine ei ole viga; mõlemad on tooted ja sa valid neist, ütled sa seda või mitte.

Testi valikut, mitte ära eelda seda. Peata kodune teenus, seejärel proovi üht päringut telefoni brauserist ja üht taustal töötavast rakendusest. Hilisem uuesti ühendamine ei võta juba väljunud päringuid tagasi.

Lõpeta kahe kontrollitud testiga telefonist endast: üks lubatud toiming, mis peaks maja läbima, ja üks keeldumine, mida kodune poliitika peaks jõustama. Kinnita, et lüüs logis ootuspärase voolu ootuspärases aadressiperes pärast uuesti ühendamist. Telefon, mis näitab «Ühendatud», on selle kontrolli algus, mitte kunagi lõpp.