Puhelimen VPN kotiin: tee palomuurista internetpoistumasi

Puhelimen liittäminen kodin tunneliin ja LAN-tiedostojen jakamisen avaaminen todistaa, että tunneli toimii. Se ei todista, että puhelimen internetpyynnöt poistuvat talon kautta. Näiden kahden tuloksen ero on edelleenlähetyskäytäntö plus reitti, ei uusi valintaruutu puhelimessa. Se on myös ero, jonka useimmat olettavat jo määrittäneensä.

Kolme päätöstä tuottaa poistumispolun: mitä puhelin lähettää tunneliin, minne kodin yhdyskäytävä lähettää sen edelleen ja mitä tapahtuu, kun tunnelia ei ole. Jokaisella on vikatila, joka puhelimen näytöltä näyttää muilta.

Kaksi hyppyä, kaksi käytäntöä

Ulompi yhteys päättyy kodin VPN-kuuntelijaan. Sisempi paketti on erillinen objekti, joka on lähetettävä jonnekin, ja edelleenlähetys on eri palomuuripäätös kuin tunnelin hyväksyminen alun perin.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Tyypillisessä kotireitittimessä nämä elävät eri sääntöjoukoissa. Tunnelin hyväksyminen on syöttökäytäntö VPN-liitännällä; puhelimen liikenteen lähettäminen internetiin on edelleenlähetyskäytäntö plus se lähdeosoitteen käännös, jota uplink tarvitsee. Reititin, joka hyväksyy tunnelin eikä lähetä mitään edelleen, tuottaa puhelimen, joka näyttää yhdistetyltä eikä lataa sivuja.

Jos VPN-palvelu pyörii erillisellä koneella talon sisällä, lisää hyppy. Reititin näkee nyt liikennettä tuolta koneelta, joten sen säännöt koskevat palvelimen osoitetta eikä puhelimen tunneliosoitetta, ja lähdeosoitteen käännös voi saada jokaisen puhelimen näyttämään yhdeltä isännältä.

Kuuntelija ei ole suodatin

Päätä, missä valvonta tapahtuu, kun tarvitsemasi tieto on vielä olemassa. Reitittimellä puhelimen tunneliosoite on näkyvissä ja se voidaan sovittaa suoraan. Toisen käännöksen takana se on poissa, ja puhelimen osoitteelle kirjoitetut säännöt eivät hiljaa vastaa mitään.

Tämä on tavallinen syy siihen, miksi käytäntö toimii kannettavalla mutta ei puhelimella. Kannettava yhdistää suoraan reitittimeen, puhelin yhdistää palvelimeen, joka lähettää eteenpäin reitittimen kautta, ja vain ensimmäinen polku säilyttää osoitteen, jota sääntö odottaa. Sääntö ei ole väärä; se sovittaa arvon, jota siinä kohdassa ei enää ole.

Kirjoita polku muistiin lähdeosoitteen kanssa sellaisena kuin se näkyy kussakin valvontapisteessä. Tämä yksi kaavio ratkaisee useimmat näistä tapauksista ennen kuin yhtäkään sääntöä muokataan.

Mitä puhelimen on itse asiassa lähetettävä

Puhelin, joka saa vain reitin kodin aliverkkoon, lähettää tunneliin vain tuon aliverkon liikenteen. Kaikki muu poistuu matkapuhelinverkon kautta, siksi tiedostojen jako toimii eivätkä internetpyynnöt koskaan saavuta taloa.

Täysi tunnelikattavuus on asiakaspuolen reitityspäätös, ja se on asetettava alustan tukemalla mekanismilla, ei oletettava asennettavasta profiilista. Kun se on asetettu, reitin takaisin VPN-palvelimelle itselleen on pysyttävä tunnelin ulkopuolella, muuten asiakas ei voi ylläpitää omaa kuljetustaan.

DNS ansaitsee oman päätöksensä, koska se on osa, joka todennäköisimmin poikkeaa muusta liikenteestä. Profiilin resolveriosoite on ehdotus, jota asiakkaat käsittelevät eri tavoin, ja sovellus omalla salatulla resolverillaan voi kulkea täysin erillistä polkua. Jos kodin käytäntö riippuu siitä, että kyselyt saavuttavat tietyn resolverin, valvo sitä siellä missä liikenne todella kulkee, tai hyväksy, että jotkin kyselyt eivät niin tee. Kysely, joka ohittaa resolverisi, ei koskaan saavuta sille kirjoitettua sääntöä.

IPv6 kuuluu samaan kappaleeseen kuin DNS, ei liitteeseen. Täysi IPv4-tunneli ei kerro mitään AAAA-liikenteestä, ja puhelin kaksoispinon matkapuhelinverkossa käyttää mielellään sille natiivia polkua. Valitse kuljetus tai estäminen selvästi.

Mitä palomuuri voi nähdä ja mitä ei

Yhdyskäytävä voi toimia sen perusteella, mitä sen valvontapiste paljastaa: osoitteet, portit, protokolla, liitäntä ja yhteyden metatiedot. Edelleenlähetetty HTTPS-pyyntö ei luovuta sivun runkoa tai salasanaa vain siksi, että se kulkee kodin tunnelin läpi.

Tämä raja kannattaa sanoa ääneen, koska ilmaus «lähetä se palomuurin läpi» viittaa enempään tarkastukseen kuin kotireititin tekee. Kohdesääntö, DNS-käytäntö ja sovelluskerroksen välityspalvelin ovat kolme eri valvontakeinoa, joilla on kolme eri käyttöönottokustannusta.

Älä oleta, että kodin LAN-asiakkaille määritetty ominaisuus koskee VPN-liitäntää. Vyöhykkeeseen kuuluminen on määritysvalinta, eikä VPN-liitäntä, joka ei ole oikealla vyöhykkeellä, peri yhtäkään niistä säännöistä, jotka testasit sohvalta.

Päätä yhteydettömän tila

Kun tunneli ei ole käytettävissä, puhelin joko palaa matkapuhelinverkkoon tai kieltäytyy lähettämästä liikennettä. Molemmat ovat järkeviä, ja vain toinen vastaa sitä, mitä useimmat uskovat määrittäneensä.

Paluu on kätevää ja vuotaa määritelmän mukaan: hetki, jolloin tunneli putoaa, on hetki, jolloin pyynnöt poistuvat operaattorin polkua. Estäminen on vahvempaa ja tekee puhelimesta riippuvaisen talon tavoitettavuudesta, mikä on matkustavalle todellinen käytettävyyskustannus. Kumpikaan käyttäytyminen ei ole virhe; molemmat ovat tuotteita, ja valitset niiden välillä sanoitpa sen tai et.

Testaa valintaa sen sijaan että olettaisit sen. Pysäytä kodin palvelu ja kokeile sitten yhtä pyyntöä puhelimen selaimesta ja yhtä taustalla pyörivästä sovelluksesta. Myöhempi uudelleenyhdistäminen ei peru jo lähteneitä pyyntöjä.

Lopeta kahteen valvottuun tarkistukseen puhelimesta itsestään: yksi sallittu toiminto, jonka pitäisi kulkea talon kautta, ja yksi kielto, jonka kodin käytännön pitäisi panna täytäntöön. Vahvista, että yhdyskäytävä kirjasi odottamasi virtauksen odottamassasi osoiteperheessä uudelleenyhdistämisen jälkeen. Puhelin, joka näyttää «Yhdistetty», on tarkistuksen alku, ei koskaan sen loppu.