Säilytä yksityiset reitit ja pudota uudelleenohjaus: OpenVPN:n jaettu tunneli
Vain yksityisille verkoille tarkoitettu tunneli tarvitsee kaksi sääntöä: yksityiset etuliitteet kulkevat sen kautta ja tavallinen selailu säilyttää paikallisen polkunsa. Oletusreitin poistaminen ei ole käytäntö.
Tunneli nousee, sovellus latautuu, ja sitten kaikki muu kannettavassa alkaa käyttäytyä oudosti. Se on tavallinen muoto käytännöstä, joka koskee vain yksityisiä verkkoja ja joka on toteutettu poistamalla yksi rivi. Työnnetyn oletusreitin poistaminen kyllä muuttaa sitä, minne liikenne menee, mutta se ei kerro, minne liikenteen pitäisi mennä sen sijaan, eikä se koske nimien selvitykseen lainkaan. Käytäntö tarvitsee kaksi myönteistä puoliskoa ennen kuin sitä voi testata.
Uudelleenohjauksen poistaminen on vain puolet muutoksesta
Koko tunnelin uudelleenohjaus ja vain yksityisten verkkojen käytäntö eroavat siinä, mitä ne väittävät maailmasta. Uudelleenohjaus vaatii jokaisen kohteen, kun taas yksityinen käytäntö vaatii luettelon ja jättää loput rauhaan. Väitteen poistaminen ilman luettelon kirjoittamista tuottaa asiakkaan, joka ei tavoita mitään lähiverkon ulkopuolelta, mikä näyttää reititysvialta eikä käytännön aukolta. Kirjoita luettelo ennen kuin poistat väitteen, ja näiden kahden vaiheen järjestys lakkaa olemasta merkityksellinen.
Molemmat puoliskot ovat vaatimuksia eivätkä oletuksia. Yksityisten etuliitteiden on mentävä tunneliin, ja tavallisten kohteiden on säilytettävä polku, joka niillä oli ennen yhteyttä.
Jos organisaatio vaatii koko tunnelia, mikään tästä ei päde. Vain yksityisten verkkojen suunnittelu kuuluu käyttöönottoihin, joissa jaettu reititys on hyväksytty.
pull-filter on osuma, ei kytkin
pull-filter-direktiivi poistaa työnnetyt valinnat, joiden nimet vastaavat etuliitettä, ja se on kaikki, mitä se tekee. Uudelleenohjauksen sivuuttaminen jättää kaikki muut työnnetyt valinnat paikoilleen, mikä on yleensä se, mitä haluat: reitit, DNS-asetukset ja reitin yhdyskäytävän arvo saapuvat edelleen. Se ei voi myöskään poistaa paikalliseen profiiliin kirjoitettua direktiiviä, koska suodatus koskee sitä, mitä palvelin työntää.
Vastusta kiusausta sivuuttaa jokainen valinta, joka alkaa sanalla route. Tämä kaava hylkää myös yksityiset reitit, joita yhteys tarvitsee, ja se voi pudottaa yhdyskäytävätietoja, joista tunneli on riippuvainen.
route-nopull on laajempi päätös kuin miltä näyttää. Se estää asiakasta hyväksymästä työnnettyjä reittejä ja DHCP-tyylisiä valintoja ryhmänä, mikä on eri käytäntö kuin yhden valinnan suodattaminen pois.
Kirjoita reittiluettelo sovelluksesta ulospäin
Aloita siitä, mitä käyttäjä todella avaa, ja lisää sitten tukiosat. Sovellus osoitteessa 10.60.20.15 edellyttää aliverkkonsa 10.60.0.0/16, ja yksityinen nimi edellyttää selvittäjää, joka vastaa siihen. Yhtä sovellusta pyytänyt käyttäjä tarvitsee siis kaksi kohdetta ja yhden DNS-päätöksen. Kaikki tuon luettelon ulkopuolella on rakenteellisesti soveltamisalan ulkopuolella, ja juuri se pitää käytännön tarkistettavana.
Yhteistyöhaluisella palvelimella niistä tulee kaksi työnnettyä reittiä, eikä kumpikaan niistä ole uudelleenohjaus. Säilytä tunnelin topologia ja reitin yhdyskäytävän arvot, jotka nykyinen palvelu tarjoaa.
Kun vain jotkut käyttäjät tarvitsevat tätä käytäntöä, käytä sitä asiakas- tai ryhmäkohtaisesti. Kaikkien reitityksen muuttaminen yhden tiimin vaatimuksen korjaamiseksi on tapa, jolla jaetusta tunnelista tulee katkos.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
Anna DNS:n seurata samaa polkua
Reitti selvittäjään ei ole selvittäjäkäytäntö. systemd-resolved-asiakkaassa semanttinen tulos on yksityisen nimiavaruuden reititysdomain, joka osoittaa sisäiseen selvittäjään, ja juuri se saa vain ne nimet käyttämään sitä. Windows-asiakas tarvitsee sen sijaan oman nimiavaruuskäytännön mekanismin. Profiilin DNS-palvelinrivi ei asenna kumpaakaan itsestään.
Tarkista, mitä käyttöjärjestelmä valitsi, sen sijaan mitä profiili pyysi. Linuxissa resolvectl status näyttää domeenin ja palvelimen linkkiä kohden; Windowsissa nimiavaruuskäytännön taulukko on vastaava todiste.
Pidä selvittäjä tavoitettavissa tunnelin kautta, muuten käytäntö osoittaa osoitteeseen, jota ei voi kysyä. Selvittäjän osoite, johon tunneli ei yllä, muuttaa toimivan käytännön aikakatkaisuksi.
Vahvista molemmat puoliskot uudelleenyhdistämisessä
Yhdistä asiakas uudelleen muutoksen jälkeen ja tarkastele tehokasta reittiä yksityiseen ja julkiseen osoitteeseen. Selvitä sitten yksityinen nimi ja julkinen nimi ja varmista, että kumpikin käytti aiottua selvittäjää. Julkisen verkkosivuston latautuminen todistaa vain toisen puoliskon, ja juuri se puolisko toimii yleensä sattumalta.
Kirjaa valmis käytäntö yhteen lauseeseen: nämä etuliitteet ja nimet käyttävät tätä yhteyttä, kaikki muu seuraa paikallista polkua. Pidä se sitten profiilissa sen sijaan, että korjaisit sovittimen asetuksia jokaisen kirjautumisen jälkeen.