Mantendu ibilbide pribatuak eta kendu birbideratzea: OpenVPN tunel zatitua
Sare pribatuetarako bakarrik den tunelek bi arau behar ditu: aurrizki pribatuak handik pasatzen dira, nabigazio arruntak bere bide lokala mantentzen du. Bide lehenetsi bat ezabatzea ez da politika bat.
Tunela altxatzen da, aplikazioa kargatzen da, eta gero ordenagailuko beste guztia arraro portatzen hasten da. Hori da lerro bat ezabatuz ezartzen den pribatu-soilik politikaren ohiko itxura. Bultzatutako bide lehenetsi bat kentzeak bai aldatzen du trafikoa norantz doan, baina ez du esaten trafikoak horren ordez norantz joan beharko lukeen, eta ez dio batere ukitzen izenen ebazpenari. Politikak bi erdi positibo behar ditu probatu ahal izateko.
Birbideratzea ezabatzea aldaketaren erdia besterik ez da
Tunel osoko birbideratzeak eta pribatu-soilik politikak desberdin egiten dute munduari buruz diotena. Birbideratzeak helmuga guztiak aldarrikatzen ditu, eta politika pribatuak zerrenda bat aldarrikatzen du eta gainerakoa bakean uzten du. Aldarrikapena ezabatu gabe zerrenda idazten ez bada, LANetik kanpo inora iristen ez den bezero bat sortzen da, eta hori bideratze-hutsegitea dirudi, ez politikaren hutsunea. Idatzi zerrenda aldarrikapena kendu aurretik, eta orduan bi pauso horien ordenak garrantzia izateari uzten dio.
Bi erdiak baldintzak dira, ez balio lehenetsiak. Aurrizki pribatuek tunelean sartu behar dute, eta helmuga arruntek konexioaren aurretik zuten bidea mantendu behar dute.
Erakunde batek tunel osoa derrigortzen badu, horietako ezer ez da aplikatzen. Pribatu-soilik diseinua bideratze zatitua onartuta dagoen hedapenetan kokatzen da.
pull-filter bat-etortze bat da, ez etengailu bat
pull-filter zuzentarauak aurrizki batekin bat datozen bultzatutako aukerak kentzen ditu, eta hori da egiten duen guztia. Birbideratzea ez ikuskatzeak beste aukera bultzatuei tokian bertan eusten die, eta hori izaten da normalean nahi duzuna: ibilbideak, DNS ezarpenak eta ibilbide-atarianaren balioa iristen dira oraindik. Ezin du profil lokalean idatzitako zuzentarau bat kendu ere, filtratzeak zerbitzariak bultzatzen duenari baitagokio.
Egin aurre route hitzarekin hasten den aukera oro ez ikuskatzeko tentazioari. Eredu horrek konexioak behar dituen ibilbide pribatuak ere baztertzen ditu, eta tuneleko atarianaren informazioa gal dezake, tunela haren mende baitago.
route-nopull dirudiena baino erabaki zabalagoa da. Bezeroari bultzatutako ibilbideak eta DHCP tankerako aukerak multzo gisa onartzea eragozten dio, eta hori aukera bat filtratzearen politikaren desberdina da.
Idatzi ibilbide-zerrenda aplikaziotik kanpora
Hasi erabiltzaileak benetan irekitzen duenetik, eta gero gehitu euskarri diren zatiak. 10.60.20.15 helbideko aplikazio batek bere azpisarea 10.60.0.0/16 dakar, eta izen pribatu batek hura erantzuten duen ebazlea dakar. Beraz, aplikazio bat eskatu duen erabiltzaileak bi helmuga eta DNS erabaki bat behar ditu. Zerrenda horretatik harago dagoena kidez kanpo dago eraikitzeko, eta horrek mantentzen du politika berrikusgarri.
Lankidetzan aritzen den zerbitzari batean horiek bi bultzatutako ibilbide bihurtzen dira, eta horietako bat ere ez da birbideratzea. Mantendu tuneleko topologia eta lehendik dagoen zerbitzuak ematen dituen ibilbide-atarianaren balioak.
Erabiltzaile batzuek bakarrik behar dutenean politika hau, aplikatu bezero edo talde bakoitzeko. Denon bideratzea aldatzea talde baten baldintza konpontzeko da tunel zatitu bat etendura bihurtzeko modua.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
Egin DNS-ak bide bera jarrai dezan
Ebazlera doan ibilbide bat ez da ebazle-politika bat. systemd-resolved bezero batean emaitza semantikoa barneko ebazlera seinalatzen duen izen-espazio pribaturako bideratze-domeinua da, eta horrek lortzen du izen horiek bakarrik erabiltzea. Windows bezero batek bere izen-espazio politikaren mekanismoa behar du horren ordez. Profileko DNS zerbitzariaren lerro batek ez du horietako bat ere bere kabuz instalatzen.
Egiaztatu sistema eragileak zer aukeratu duen, eta ez profileak zer eskatu duen. Linuxen resolvectl status-k esteka bakoitzeko domeinua eta zerbitzaria erakusten ditu; Windowsean izen-espazio politikaren taula da froga baliokidea.
Eduki ebazlea tuneletik irisgarri, bestela politikak kontsultatu ezin den helbide bat seinalatzen du. Tunelak iristen ez den ebazle-helbide batek funtzionatzen duen politika denbora-muga bihurtzen du.
Egiaztatu bi erdiak berbateratzean
Berriz konektatu bezeroa aldaketaren ondoren eta aztertu helbide pribatu baterako eta publiko baterako bide eraginkorra. Ondoren ebatzi izen pribatu bat eta izen publiko bat eta egiaztatu bakoitzak aurreikusitako ebazlea erabili duela. Webgune publiko bat kargatzeak bigarren erdia baino ez du frogatzen, eta erdi hori izaten da normalean kasualitatez funtzionatzen duena.
Erregistratu amaitutako politika esaldi bakarrean: aurrizki eta izen hauek konexio hau erabiltzen dute, beste guztiak bide lokala jarraitzen du. Gero eduki ezazu profilean, saio-hasiera bakoitzaren ondoren egokitzaileren ezarpenak konpondu ordez.