Streamôf subnet tsjin desktop-VPN: slút transit út, net apps
In omgong per applikaasje klassearret allinnich de lokale útgong. Apparaten efter it wurkstasjon hawwe har eigen belied foar yngong, trochstjoeren en weromwei.
Ien masine, twa taken, ien firewall: in Wi-Fi-ferbining omheech, in lyts Ethernet-subnet dêrefter en in desktop-VPN-klant dy't oannimt dat alles wat de masine ferlit lokaal is. Lokaal starte applikaasjes ferlitte fia it lokale útgongspaad. Apparaten efter it wurkstasjon komme op 'e Ethernet-poarte oan en hawwe in trochstjoerbeslissing nedich. In útsûndering skreaun foar it earste paad sjocht nea it twadde, en dêrom giet in browser om 'e tunnel hinne wylst de apparaten dat net dogge.
Twa pakketpaden, ien belied
| Origin | Path | Decision owner |
|---|---|---|
| Application on the workstation | OUTPUT then egress | The VPN app's routing policy |
| Device behind the workstation | PREROUTING then FORWARD | The workstation's own forwarding policy |
De earste rige is wat de measte split-tunneling-gidsen beskriuwe. De twadde is in routerkonfiguraasje dy't tafallich op deselde masine wennet. Se yn ien mentaal model smelte is de flater; se diele in kearn, mar net in belied. Tekenje beide paden foardat jo in regel bewurkje, en de rest fan it ûntwerp folget út hokker paad der ûntbrekt.
De tabel ferklearret ek wêrom't ien masine de iene test helje kin en de oare net. In browser op it wurkstasjon bewiist it lokale paad; in laptop oan 'e Ethernet-poarte bewiist it trochstjoerpaad. Falidearje in feroaring mei beide, oars bliuwt de twadde ûnteste, hoe faak de browser ek ferfarske wurdt.
Wat in applikaasje-útsûndering eins klassearret
In útsûndering per applikaasje wurket meastentiids troch pakketten fan in proses of in brûker te markearjen en dêrnei markearre ferkear bûten de tunnel te stjoeren. Dat is in konstruksje foar lokale útgong. In pakket fan in streamôf apparaat hat gjin lokaal proses, dus it matcht nea de selektor, wat de selektor ek is.
Wat de selektor ek is, de twa listen binne net deselde list, en dat is it hiele punt. De Mullvad Linux-gids beskriuwt markearrings dy't troch syn firewall en rûtebelied konsumearre wurde, en syn foarbylden rjochtsje har op lokale útgong; se binne gjin stipe beskriuwing fan in streamôf router. Se kopiearje jout in masine dy't tinkt dat er in útsûndering hat wylst er alles de tunnel yn stjoert.
Skriuw it transitkontrakt
Neam it streamôf boarneprefiks en de yngongsynterface tegearre, behein dat prefiks dan by de yngong. Sûnder de beheining kin elk apparaat dat de poarte berikt in útsletten adres opeaskje en fia de omgong fuortgean. Behannelje it as twa fragen: meie dizze hosts dit omheechferbining hielendal brûke, en meie se it wurkstasjon of de privee berikken fan 'e tunnel berikke? Dat binne ekstra tastimmingen, gjin byeffekten fan 'e kar fan 'e ferbining.
Stean trochstjoeren ta, en filterje it dan. De Linux-gateway hat ynskeakele trochstjoeren nedich, regels dy't it bedoelde ferkear yn beide rjochtingen tastean, en of in weromrûte omheech of bewust beheinde boarne-oersetting. NAT allinnich kiest de ferbining net en jout gjin trochgong troch in filter; it skriuwt in adres pas nei dy beslissingen oer.
Klassifikaasje foar transit moat barre foar de beslissing oer de trochstjoerrûte, wat de prerouting-faze betsjut en net output. In regel pleatst nei de beslissing kin it pakket noch feroarje, mar kin net feroarje wêr't it pakket al hinne stjoerd is.
Markearrings hearre by de applikaasje dy't se besit
Markearringswaarden, tabelnûmers en keatsprioriteiten binne diel fan it belied fan 'e VPN-applikaasje, gjin ivige konstanten. In duorsum netwurk dat ôfhinget fan it ynfoegjen fan in regel yn in tabel dy't in oar programma wer opbouwt, brekt by de folgjende fernijing, meastentiids by in werferbining en net op in gelegen momint.
It tafoegjen fan in twadde basiskeatling mei in accept-útspraak oerhearsket net needsaaklikerwiis de drop fan in lettere keatling. Basiskeatlingen hawwe haken en prioriteiten, en de earste útspraak yn 'e oarder wint; in accept yn ien keatling annulearret gjin drop dy't in oare keatling earst berikt. Sjoch nei de folsleine regelset en de oarder fan it rûtebelied, net nei de iene teller dy't omheech gie. In teller bewiist dat in regel rûn, nea dat syn útspraak dejinge wie dy't tapast waard.
Yntegrearje, of ferpleats it subnet
De twa ûntwerpen ferskille yn wa't de omgong besit. In yntegrearre ûntwerp hâldt ien masine en ien belied, tsjin de priis fan ôfhinking fan 'e tabel-libenssyklus fan 'e VPN-applikaasje en fan in set markearrings dy't syn dokumintaasje feroarje kin. In tawijde router foar it streamôf netwurk hellet dy ôfhinking folslein fuort: it subnet hat syn eigen ferbining omheech en it wurkstasjon bliuwt in klant sûnder trochstjoerrol.
Kies de twadde as it streamôf netwurk troch VPN-fernjifingen hinne wurkje moat, of as nimmen it yntegrearre belied nei elke útjefte testen kin. Kies de earste allinnich as de yntegraasje dokumintearre is en immen him besit.
Falidearje de grins yn fjouwer tastannen: ferbûn, werferbinen, bewust blokkearre en stoppe. Kontrolearje namme-oplossing en beide adresfamyljes ûnder elk, want in omgong dy't DNS lekket is net de útsûndering dy't jo ûntwurpen hawwe. De test moat de krekte grins bewize, net allinnich dat ien side laden is.