Aplikazioan oinarritutako edo helmugan oinarritutako split tunneling: zein aukeratu

Aplikazioan oinarritutako eta helmugan oinarritutako split tunneling ez dira lan bererako bi ezarpen. Batek galdetzen du zein prozesuk bidaltzen duen paketea; besteak galdetzen du pakete hori norantz doan. Lehen galderarako eraikitako araua isilki huts egiten du trafikoa prozesu lagungarri batetik datorrenean, eta bigarrenerako eraikitako arauak huts egiten du ostalari-izen bat inoiz zerrendatu ez duzun helbide batean ebazten denean. Betebeharrarekin bat datorren objektua aukeratu, eta frogatu bi proba-paketerekin: batek tunela erabili behar du eta besteak ez.

Bi arauek geruza ezberdinetan jarduten dute

Aplikazio-araua sare-geruzaren gainetik aplikatzen da, sistema eragileak bidaltzaileari esleitzen dion identitatearen aurka. Androiden pakete baten atzeko UID da, eta VPN zerbitzuak UID bakoitzeko erabakitzen du trafikoa tunelera sartzen den. Helmugari buruz ezer ez da galdetzen, beraz hautatutako aplikazioak edozer har dezake eta beste inongo aplikaziok ezin du barne-sarea hartu.

Helmuga-araua paketearen gainean aplikatzen da. Tunelaren interfazeak prefijo multzo bat dauka, bideratze-taulak bat datozen trafikoa bertara bidaltzen du, eta bidaltzen ari den prozesua ez da garrantzitsua. Horregatik helmuga-arauak zerbitzu bat, inprimagailu bat edo inork zerrendatzeko gogoratu ez zuen lota-lana estaltzen du, eta horregatik ezin da hau bezalako programa gisa adierazi prozesuari inoiz begiratzen ez dion bezeroa duen plataforma batean.

Aplikazio-arauak bezero mugikorretara eta kudeatutako agenteetara egokitzen dira

Androidek aukera zuzenean erakusten du: VpnService.Builder.addAllowedApplication() eta addDisallowedApplication() pakete-izenak hartzen dituzte eta erabakia UID bakoitzeko aplikatzen dute, Androideko VPN garatzaile-gidan deskribatzen den bezala. iOSek baliokidea du aplikazio bakoitzeko VPN arauen bidez, sorta-identifikatzaileetan oinarrituta, normalean MDM profilek banatuta eta ez eskuz idatzita.

Mahaigaineko bezeroak dira ahulezia. Windows eta macOS VPN bezero gehienek helmugaren arabera bideratzen dute eta ez dute prozesu bakoitzeko hautatzailerik eskaintzen, tunelaren kontrolatzaileak paketeak ikusten baititu, ez prozesuak. Zure planak eramangailu batean aplikazio bakarra tunelatzearen mende badago, egiaztatu bezeroaren benetako gaitasunak horren inguruan diseinatu aurretik; agian helmuga-zerrenda baten eta bigarren makinaren artean aukeratzen ari zara.

Jendeak ahazten duen ondorio bat: ezin duzu aplikazio-arau bat bideekin imitatu plataforma horietan. Aplikazioaren zerbitzarirako ostalari-bide bat gehitzeak guztien trafikoa zerbitzari horretara tunelatzen du, nabigatzailea eta eguneratzailea barne.

Helmuga-arauak azpisare-zerrendetara eta guneen irisgarritasunera egokitzen dira

WireGuardek eredua esplizitu egiten du. AllowedIPs kriptogako bideratzea da: helmuga pare baten zerrendaren barruan erortzen den barne-paketea pare horretara enkriptatzen da, eta gainerako guztia bide normaletik irteten da enkriptatu gabe. Ez dago izendatzeko prozesurik eta ez dago argitasunik falta denari buruz.

OpenVPN toki berera iristen da bultzatutako bideratze-taularen bidez. route-nopull-k zerbitzariari bideak diktatzea eragozten dio, eta ondoren bezeroaren aldeko route 10.20.0.0 255.255.0.0 vpn_gateway-k bulegoko prefijoa zehazki estaltzen du. IPv6 adierazpen bereizia da bezero horietako bakoitzean, eta hura ahaztea da itxuraz zuzena den IPv4 bereizketa baten inguruan isurtzeko modurik ohikoena.

Ostalari-izen bat ez da bide bat. Profilak domeinu-eremu bat eskaintzen badu, bezeroak behin ebazten duen izen gisa hartu, ez helbide-tarte iraunkor gisa; eduki-banaketarako sareek eta karga-orekatzaileek beste helbide batzuk emango dituzte bihar.

Bi modeloak non eteten diren: laguntzaileak, zerbitzu partekatuak, ebazleak

Prozesu lagungarriek aplikazio-arauak eteten dituzte zerbitzariaren hutsegite baten antzera. Nabigatzaile baten eguneratzailea, kraskadura-erreportaria, SYSTEM gisa exekutatzen den sinkronizazio-zerbitzua eta beste pakete batean txertatutako WebView identitate bereiziak dira, beraz nabigatzailea tunelatzeak benetako eskaera tunelatik kanpo utz dezake. Alderantzizkoa berdin nahasten du: kanpoan utzitako aplikazio batek tunelatutako prozesu baten barruko liburutegi partekatu bat deitzen badu, bere trafikoak tunela erabiltzen jarraitzen du.

Helmuga-arauak zerbitzu partekatuetan eta izenetan eteten dira. Fitxategi-partekatzeak, inprimagailuak, barneko DNSa eta lizentzia-zerbitzaria helbideetan bizi dira, beraz aplikazio bakarreko tunel batek nabigatzaileari sarbidea ematen dio mapatutako unitatea hilda dagoen bitartean. Estaldura-aldea hori ez da akatsa modelo batean ere, baina hori da aplikazio bakarreko tunel batek hain sarri VPNa martxan eta partekatzea desagertu dela sortzeko arrazoia.

Ebazleek biak zeharkatzen dituzte. Bezeroak barneko DNS zerbitzariak ezartzen baditu baina sistema eragileak HTTPS bidezko DNS erabiltzen badu ebazle publiko baterantz, erantzuna tunelatik kanpotik dator eta helmuga-araua sekula ez etortzea gerta daiteke. Egiaztatu zein ebazlek erantzun zuen benetan araua oker dagoela ondorioztatu aurretik, eta baieztatu bezeroaren aldean tunelaren ebazlea instalatu ote zuen. DNSa tunelatik kanpo uzten duen bereizketa perfektua dirudi bideratze-taulan eta huts egiten du barneko izen guztietan.

Lan-gida: aukeratu, aplikatu, egiaztatu

Hasi betebeharretik, ez menutik. Helburua aplikazio hau bakarrik tunela erabiltzea bada, aplikazio-arauak eta horiek onartzen dituen plataforma behar dituzu. Helburua sare hauek tunelaren bidez irisgarriak izatea bada, prefijoak behar dituzu. Erantzuna biak badira, bi kontrol bereizi gisa ezarri eta idatzi zeinek duen hutsegite bakoitzaren ardura.

Adieraz dezakezun formarik estuena aplikatu, eta gero egiaztatu bideratze-taulari galdetuz, bezeroaren egoera-ikonoari beharrean:

ip route get 10.20.30.40
ip -6 route get 2001:db8:10::40
wg show wg0 allowed-ips
Get-NetRoute -DestinationPrefix 10.20.0.0/16
Find-NetRoute -RemoteIPAddress 10.20.30.40

Lehen bi lerrok benetako helmuga batek erabiliko lukeen interfazea izendatzen dute; wg show-k konfiguratutako prefijo-zerrenda inprimatzen du; Windowsen Find-NetRoute-k paketea bidaltzean pilak erantzungo duen galdera berari erantzuten dio. Interfazea tunela bada, arauak bat egin du.

Gero probatu kanpoan utzi beharko litzatekeen bigarren pakete bat, beste aplikazio batetik, helmuga berera. Erregistratu tiketaren barruan bezeroaren bertsioa, arau-mota, prefijo edo pakete-zerrenda eta behatutako bi emaitzak. Emaitza-bikote horrek esaten dio hurrengo ingeniariari politika gaizki konfiguratuta dagoen edo trafikoak inoiz hari ez zion pertenezi.