VPN گوشی به خانه: فایروال را خروجی اینترنت خود کنید

اتصال یک گوشی به تونل خانه و باز کردن یک اشتراک فایل در شبکه محلی ثابت می‌کند که تونل کار می‌کند. این ثابت نمی‌کند که درخواست‌های اینترنتی گوشی از خانه بیرون می‌روند. تفاوت میان این دو نتیجه یک سیاست ارسال به‌علاوه یک مسیر است، نه یک کادر تیک دیگر روی گوشی. همان تفاوتی است که بیشتر مردم گمان می‌کنند قبلاً پیکربندی کرده‌اند.

سه تصمیم مسیر خروج را می‌سازند: گوشی چه چیزی به تونل می‌فرستد، دروازه خانه آن را کجا ارسال می‌کند، و وقتی تونل نیست چه می‌شود. هر کدام یک حالت خرابی دارند که از صفحه گوشی شبیه بقیه به نظر می‌رسد.

دو پرش، دو سیاست

اتصال بیرونی در شنونده VPN خانه پایان می‌یابد. بسته درونی شیء جداگانه‌ای است که باید جایی ارسال شود، و ارسال تصمیمی متفاوت از پذیرش تونل در وهله اول است.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

روی یک روتر خانگی معمولی این‌ها در مجموعه قواعد متفاوتی زندگی می‌کنند. پذیرش تونل سیاست ورودی روی رابط VPN است؛ فرستادن ترافیک گوشی به اینترنت سیاست ارسال به‌علاوه هر ترجمه مبدأیی است که پیوند بالاسری نیاز دارد. روتری که تونل را می‌پذیرد و چیزی ارسال نمی‌کند گوشی‌ای می‌سازد که متصل نشان می‌دهد و هیچ صفحه‌ای بار نمی‌کند.

اگر سرویس VPN روی دستگاهی جداگانه درون خانه اجرا می‌شود، یک پرش اضافه کنید. روتر اکنون ترافیکی را می‌بیند که از آن دستگاه می‌آید، پس قواعدش بر نشانی سرور اعمال می‌شود نه نشانی تونل گوشی، و ترجمه مبدأ می‌تواند هر گوشی را مانند یک میزبان نشان دهد.

شنونده فیلتر نیست

تصمیم بگیرید اجرا کجا اتفاق می‌افتد تا زمانی که اطلاعات مورد نیازتان هنوز وجود دارد. روی روتر، نشانی تونل گوشی دیدنی است و می‌توان آن را مستقیم تطبیق داد. پشت یک ترجمه دوم، از میان رفته است و قواعد نوشته‌شده برای نشانی گوشی بی‌صدا با هیچ چیز تطبیق نمی‌یابند.

این دلیل معمول کار کردن یک سیاست برای لپ‌تاپ و کار نکردنش برای گوشی است. لپ‌تاپ مستقیم به روتر وصل می‌شود، گوشی به سروری وصل می‌شود که از طریق روتر ارسال می‌کند، و تنها مسیر نخست نشانی‌ای را که قاعده انتظار دارد حفظ می‌کند. قاعده اشتباه نیست؛ با مقداری تطبیق می‌یابد که در آن نقطه دیگر وجود ندارد.

مسیر را با نشانی مبدأ همان‌گونه که در هر نقطه اجرا دیده می‌شود بنویسید. همان یک نمودار بیشتر این موارد را پیش از ویرایش هر قاعده حل می‌کند.

گوشی واقعاً چه چیزی باید بفرستد

گوشی‌ای که فقط مسیری به زیرشبکه خانه می‌گیرد تنها ترافیک همان زیرشبکه را به تونل می‌فرستد. بقیه از شبکه همراه بیرون می‌روند، به همین دلیل اشتراک فایل کار می‌کند و درخواست‌های اینترنتی هرگز به خانه نمی‌رسند.

پوشش کامل تونل تصمیمی درباره مسیریابی در سمت کلاینت است و باید با سازوکاری که پلتفرم پشتیبانی می‌کند تنظیم شود، نه از روی پروفایلی که نصب می‌شود فرض شود. پس از تنظیم، مسیر بازگشت به خود سرور VPN باید بیرون از تونل بماند، وگرنه کلاینت نمی‌تواند انتقال خودش را حفظ کند.

DNS سزاوار تصمیم جداگانه است، چون همان بخشی است که بیشتر از بقیه ترافیک جدا می‌شود. نشانی مبدل در پروفایل پیشنهادی است که کلاینت‌ها آن را متفاوت مدیریت می‌کنند، و برنامه‌ای با مبدل رمزنگاری‌شده خودش می‌تواند مسیری کاملاً جدا در پیش بگیرد. اگر سیاست خانه به رسیدن درخواست‌ها به مبدل خاصی وابسته است، آن را جایی اجرا کنید که ترافیک واقعاً می‌گذرد، یا بپذیرید که برخی درخواست‌ها نرسند. درخواستی که مبدل شما را دور بزند هرگز به قاعده‌ای که برایش نوشته شده نمی‌رسد.

IPv6 در همان بند DNS جای دارد، نه در پیوست. تونل کامل IPv4 هیچ چیزی درباره ترافیک AAAA نمی‌گوید، و گوشی روی شبکه همراه دوپشته با کمال میل برای آن از مسیر بومی استفاده می‌کند. حمل یا مسدودسازی را صریح انتخاب کنید.

فایروال چه چیزی را می‌تواند ببیند و چه چیزی را نه

دروازه می‌تواند بر آنچه نقطه اجرایش آشکار می‌کند عمل کند: نشانی‌ها، درگاه‌ها، پروتکل، رابط و فراداده اتصال. یک درخواست HTTPS ارسال‌شده تنها به این دلیل که از تونل خانه می‌گذرد، بدنه صفحه یا گذرواژه را تحویل نمی‌دهد.

این محدودیت ارزش گفتن دارد، چون عبارت «آن را از فایروال بگذران» بازرسی بیشتری از آنچه یک روتر خانگی انجام می‌دهد را القا می‌کند. قاعده مقصد، سیاست DNS و پروکسی لایه برنامه سه کنترل متفاوت با سه هزینه استقرار متفاوت‌اند.

فرض نکنید ویژگی‌ای که برای کلاینت‌های شبکه محلی خانه پیکربندی شده برای رابط VPN هم صدق می‌کند. عضویت در ناحیه یک انتخاب پیکربندی است، و رابط VPN که در ناحیه درست نیست هیچ‌یک از قواعدی را که از روی مبل آزمایش کردید به ارث نمی‌برد.

درباره حالت قطع‌شده تصمیم بگیرید

وقتی تونل در دسترس نیست، گوشی یا به شبکه همراه بازمی‌گردد یا از فرستادن ترافیک خودداری می‌کند. هر دو معقول‌اند و تنها یکی از آن‌ها با آنچه بیشتر مردم باور دارند پیکربندی کرده‌اند می‌خواند.

بازگشت راحت است و بنا به تعریف نشت می‌کند: لحظه‌ای که تونل می‌افتد همان لحظه‌ای است که درخواست‌ها از مسیر اپراتور بیرون می‌روند. مسدودسازی قوی‌تر است و گوشی را به در دسترس بودن خانه وابسته می‌کند، که برای کسی در سفر هزینه دسترس‌پذیری واقعی است. هیچ‌یک از این دو رفتار اشکال نیست؛ هر دو محصول‌اند و شما میانشان انتخاب می‌کنید، چه بگویید چه نگویید.

انتخاب را بیازمایید نه اینکه فرض کنید. سرویس خانه را متوقف کنید، سپس یک درخواست از مرورگر گوشی و یکی از برنامه‌ای که در پس‌زمینه اجرا می‌شود امتحان کنید. اتصال دوباره در آینده درخواست‌هایی را که قبلاً رفته‌اند باطل نمی‌کند.

با دو بررسی کنترل‌شده از خود گوشی تمام کنید: یک عملیات مجاز که باید از خانه بگذرد، و یک رد که سیاست خانه باید اعمال کند. تأیید کنید که دروازه جریانی را که انتظار داشتید، در خانواده نشانی که انتظار داشتید، پس از اتصال دوباره ثبت کرده است. گوشی‌ای که «متصل» نشان می‌دهد آغاز آن بررسی است، هرگز پایانش نیست.