Beheragoko azpisarea mahaigaineko VPNaren aurka: baztertu trantsitua, ez aplikazioak
Aplikazioko saihesbideak irteera lokala sailkatzen du soilik. Lan-estazioaren atzeko gailuek beren sarrera, birbidaltze eta itzulera-bidearen politika behar dute.
Makina bat, bi lan, suebaki bat: Wi-Fi esteka gorantz, atzean Ethernet azpisare txiki bat eta mahaigaineko VPN bezero bat, makinatik irteten den guztia lokala dela suposatzen duena. Lokalki abiarazitako aplikazioak irteera-bide lokaletik irteten dira. Lan-estazioaren atzeko gailuak Ethernet atakara iristen dira eta birbidaltze-erabaki bat behar dute. Lehen bidearentzat idatzitako bazterketa batek ez du inoiz bigarrena ikusten, eta horregatik nabigatzaileak tunela saihesten du, gailuek ez bezala.
Bi pakete-bide, politika bat
| Origin | Path | Decision owner |
|---|---|---|
| Application on the workstation | OUTPUT then egress | The VPN app's routing policy |
| Device behind the workstation | PREROUTING then FORWARD | The workstation's own forwarding policy |
Lehen errenkada split-tunneling gida gehienek deskribatzen dutena da. Bigarrena makina berean kasualitatez bizi den router konfigurazio bat da. Biak buruko eredu batean biltzea da akatsa; nukleo bat partekatzen dute, baina ez politika. Marraztu bi bideak edozein arau editatu aurretik, eta diseinuaren gainerakoa falta den bideak zehazten du.
Taulak ere azaltzen du zergatik makina batek proba bat gaindi dezakeen eta beste bat huts egin. Lan-estazioko nabigatzaileak bide lokala frogatzen du; Ethernet atakara konektatutako eramangarri batek birbidaltze-bidea frogatzen du. Egiaztatu aldaketa bakoitza biekin, bestela bigarrena probatu gabe geratuko da, nabigatzailea zenbat aldiz freskatu ere.
Zer sailkatzen duen aplikazio-bazterketa batek benetan
Aplikazioko bazterketa batek normalean honela egiten du lan: prozesu edo erabiltzaile baten paketeak markatuz, eta gero markatutako trafikoa tunelatik kanpora bideratuz. Hori irteera lokaleko egitura bat da. Beheragoko gailu baten paketeak ez du prozesu lokalik, beraz ez dator inoiz bat hautatzailearekin, hautatzailea edozein dela ere.
Hautatzailea edozein dela ere, bi zerrendak ez dira zerrenda bera, eta hori da kontua. Mullvaden Linux gidak bere suebakiak eta bideratze-politikak kontsumitzen dituzten markak deskribatzen ditu, eta bere adibideek irteera lokala dute helburu; ez dira beheragoko router baten deskribapen onartua. Horiek kopiatzeak bazterketa bat duela uste duen makina ematen du, dena tunelera birbidaltzen duen bitartean.
Idatzi trantsitu-kontratua
Izendatu batera beheragoko iturburu-prefixoa eta sarrera-interfazea, eta gero mugatu prefixo hori sarreran. Mugarik gabe, atakara iristen den edozein gailuk baztertutako helbide bat aldarrikatu eta saihesbidetik irten daiteke. Hartu bi galdera gisa: erabil dezakete host horiek esteka hau batere, eta irits daitezke lan-estaziora edo tunelaren barruti pribatuetara? Baimen gehigarriak dira, ez esteka hautatzearen albo-ondorioak.
Baimendu birbidaltzea, eta gero iragazi. Linux atebideak birbidaltzea gaituta behar du, trafiko jasangarria bi noranzkoetan uzten duten arauak, eta edo goranzko itzulera-ibilibidea edo nahita mugatutako iturburu-itzulpena. NAT hutsak ez du esteka hautatzen eta ez du iragazkitik pasatzen uzten; helbide bat berridazten du soilik erabaki horien ondoren.
Trantsituaren sailkapena birbidaltze-ibilbidearen erabakiaren aurretik gertatu behar da, hau da, prerouting fasean eta ez output fasean. Erabakiaren ondoren jarritako arau batek paketea aldatu dezake oraindik, baina ezin du aldatu paketea jada nonbidertu den.
Markak beren jabea den aplikazioarenak dira
Marken balioak, taula-zenbakiak eta kate-prioritateak VPN aplikazioaren politikaren parte dira, ez dira betiko konstanteak. Beste programa batek birsortzen duen taula batean arau bat txertatzearen mende dagoen sare iraunkor batek hurrengo eguneratzean huts egingo du, normalean berriro konektatzean eta ez une egokian.
accept epaiekin bigarren oinarrizko kate bat gehitzeak ez du nahitaez gainditzen geroagoko kate baten drop. Oinarrizko kateek kakoak eta prioritateak dituzte, eta ordenako lehen epaia nagusitzen da; kate bateko accept batek ez du deuseztatzen beste kate batek lehenago lortzen duen drop bat. Begiratu arau-multzo osoa eta bideratze-politikaren ordena, handitu den kontagailu bakarra ez. Kontagailu batek arau bat exekutatu zela frogatzen du, inoiz ez haren epaia aplikatu zena izan zela.
Integratu edo mugitu azpisarea
Bi diseinuek saihesbidearen jabetzan ezberdintzen dira. Diseinu integratu batek makina bat eta politika bat gordetzen ditu, VPN aplikazioaren taulen bizi-zikloaren eta bere dokumentazioak alda dezakeen marka-multzo baten mendekotasunaren kostuan. Beheragoko sarearentzat dedikatutako router batek mendekotasun hori erabat kentzen du: azpisareak bere esteka dauka, eta lan-estazioak birbidaltze-rolik gabeko bezero izaten jarraitzen du.
Aukeratu bigarrena beheragoko sareak VPN eguneratzeetan zehar lanean jarraitu behar duenean, edo inork ezin duenean politika integratua bertsio bakoitzaren ondoren probatu. Aukeratu lehena integrazioa dokumentatuta dagoenean eta norbaitek beretzen duenean soilik.
Egiaztatu muga lau egoeratan: konektatuta, berriro konektatzen, nahita blokeatuta eta geldituta. Egiaztatu izenen ebazpena eta bi helbide-familia bakoitzean, DNS iragazten duen saihesbide bat ez baita diseinatu duzun bazterketa. Probak muga zehatza frogatu behar du, ez orrialde bat kargatu dela soilik.