VPN arauak routerrean: egokitu iturria eta helmuga
Routerreko VPN arauak bi mutur ditu: trafikoa bidaltzen duen gailua eta tunela erabili behar duen helmuga. Erabaki lehenik ebakidura eta babeskopia-jokabidea.
Routerren erosketa-orriek VPN bideratzea kontrol-lauki bakartzat aurkezten dute, eta esaldi horrek hiru galdera desberdin ezkutatzen ditu. Araua trafikoa bidaltzen duen gailuarekin bat dator, hura jasotzen duen zerbitzariarekin, ala biekin? Ez batekin ez bestearekin bat ez datorren trafikoarekin zer gertatzen da? Eta bi arau gainjartzen direnean, zeinek irabazten du? Erantzuna iturri eta helmuga bikote gisa idazten baduzu, funtzio-zerrenda lausoa diseinu frogagarri bihurtzen da.
Funtzioaren izenak bi mutur ezkutatzen ditu
Tunela erabili behar duen multimedia-erreproduzigailua iturri-bat-etortzea da. Tunelaren bidez irisgarria izan behar duen bulego-prefix pribatua helmuga-bat-etortzea da. Tunela zerbitzu bakarrerako erabili behar duen lan-estazioa biak dira, eta ebakidura hori kontsumo-firmware gehienek gaizki kudeatzen duen kasua da.
Idatzi baldintza bikote gisa produktuak alderatu aurretik. Bikote hori probatuko duzu geroago.
Gailu-zerrenda edo helmuga-zerrenda globala eskaintzen duen produktuak agian ezin du «gailu hau soilik, helmuga hauek soilik» adierazi. Hutsunea ez da kosmetikoa: helmuga-arau global batek gailu guztien trafikoa bidaltzen du gune horretara tunelaren bidez, eta gailu-arau batek gailu horren trafiko guztia bidaltzen du. Biak ere ez dira baldintza. Proba ezazu kasu hori bi gailurekin pantailan fidatu aurretik.
Eraiki araua ebakidura gisa
Taula batek diseinua zintzo mantentzen du. Jarri eszenarioa ezkerrean, eta gero izendatu bidaltzailearen bat-etortzea eta helmugakoa bereizita:
| Scenario | Sender match | Target match | Rule shape |
|---|---|---|---|
| Media player uses the tunnel | Player address | Any internet destination except the LAN | Source only |
| Office prefix reachable | Authorized LAN devices | 10.40.0.0/16 | Target only |
| One app on one laptop | Laptop address | The service address set | Source and target |
| Guest network never tunnels | Guest subnet | Any | Deny, evaluated first |
Hirugarren errenkada da interesgarria, bi erdiak aldi berean behar dituelako. Firmwareak ardatz bakarra baino ezin badu adierazi, baldintza bi arautan banatu behar da edo hori egin dezakeen gailu batera eraman.
Mantendu iturriaren identitatea egonkor. DHCP erreserba batek, segmentu dedikatu batek edo gailuaren identitate-mekanismo batek funtzionatzen dute, baina errentamenduaren ondoren aldatzen den helbide batek ez. Sartu IPv6, IPv4 helbide batek ez baitu gailu baten trafiko guztia identifikatzen.
Lehentasunak erabakitzen du gainjartzea
Arauen gainjartzea normala da. Gailu-arau zabal batek eta helmuga-arau estu batek fluxu bera deskriba dezakete, eta dokumentatutako lehentasun-ordenak erabakitzen du zein nagusitzen den. Konfigurazio-pantaila erakargarri batek ez dizu ordena hori esaten.
Irakurri eskuliburua ordenari eta bat-etortzerik gabeko kasuari buruz, eta gero probatu biak behatu dezakezun trafikoarekin:
ip rule show
ip route get 203.0.113.10Dokumentazioak ordena aipatzen ez badu, suposatu arau estuagoak agian ez duela irabaziko eta diseinatu horren arabera. Gatazkan sartu ezin diren bi arau errazago mantentzen dira jatorria dokumentatu gabeko arau azkar bat baino.
Izendapenek freskatze-politika behar dute
Domeinu gisa idatzitako helmuga batek mantentze-arazo bat gehitzen du. Routerrak ebatzi behar du, mapaketa freskatu, helbide anitz eta azpidomeinuak kudeatu, eta espero den ebazlea saihesten duen aplikazioen DNSari aurre egin.
Bilaketa-emaitza bat IP arau batean kopiatzea argazki bat da, ez domeinu-politika bat.
Erabaki erantzun bat zenbat zahartu daitekeen araua okerra izan aurretik, eta zer egiten duen routerrak ebazpenak huts egiten duenean. Azken helbide ezaguna gordetzen duen arau batek zerbitzu-migrazioa gaindi dezake; sarrera botatzen duen arau batek tunelatzea isilpean geldi dezake. Bi jokabideak onargarriak dira arauaren ondoan idatzita badaude.
Definitu eskuragarri ez dagoen egoera
Bide-lehentasun batek ez du VPN bidezko trafikoa soilik behartzen. Tunela behera dagoenean, routerrak fluxua blokea dezake, zuzenean bidali edo beste tunel bat erabili, eta aukera bakoitzak hutsegite-arrasto desberdina du.
Erabaki baldintzak zein behar duen, eta gero egiaztatu tunela geldituz eta fluxua behatuz:
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10Routerretik sortutako trafikoa esparru bereizia da. DNS birbidalketak, eguneratze-egiaztapenek eta monitorizazioak routerretik bertatik fluxu berriak has ditzakete gailuaren iturri-bat-etortzea heredatu beharrean. Kontuan hartu fluxu horiek modu esplizituan, bestela azaldu gabeko ihes gisa agertuko dira erregistroetan.