Thúslab en split tunnel: rûte watsto nedich hast, net alles

It advys dat in thúslab in folsleine tunnel nedich hat, komt meastentiids út in hantlieding dy’t der ien hie, net út in eask. Split tunnel is net de ynkrompen ferzje fan in goed VPN; it is de ferzje wêrfan’t de rûtetabel te ferklearjen is. In lab mei fiif tsjinsten en in behearoerflak hat net nedich dat elk pakket dat it hûs ferlit troch in tunnel giet. Wat it nedich hat, is in ynventaris en in rûte foar elk ûnderdiel fan dy ynventaris.

De myte: split tunnel is in kompromis

De myte hâldt stân om’t in folsleine tunnel makliker ien kear yn te stellen is en letter dreger te debuggen. Dy ruil is ridlik foar in laptop op iepenbiere Wi-Fi en ferkeard foar in rack yn ’e kelder.

It ferbercht ek in twadde oannaam, nammentlik dat de adressearring fan it lab neat mienskiplik hat mei it netwurk dêr’tst fan ôf ferbynt.

Meitsje earst in ynventaris fan ’e boarnen, dan de rûtes

Skriuw elk subnet fan it lab op, de tsjinst dy’t dêr wennet, de namme dêr’tst it mei oplosse, en wa’t der komme mei; de notysjes oer trochstjoeren foar dyn gateway beskriuwe it werompaad dêr’tst tsjin planst. Foegje de kontenerberikken ta en de LAN-berikken dy’t de klant op ôfstân miskien al brûkt, want oerlaping is de flater dy’t dizze ynventaris foarkomt. In rûte dy’t elk privee-adres dekt, sil earder of letter mei in thúsnetwurk yn botsing komme. De ynventaris is ek it testplan, dêrom is it de muoite wurdich om it foar de konfiguraasje te dwaan en net dêrnei.

Jou elk boarne in paad: troch de tunnel, direkt of wegere. In boarne sûnder tawiisd paad is dy’t letter de betize stipefraach skept.

Fiif rigen en in kolom mei besluten ferslaan in rûtetabel dy’t nimmen lêze kin.

De gateway hat in werompaad nedich

Trochstjoeren op ’e gateway is mar de helte. It lab hat in rûte werom nei de klantpool nedich, of in stipe regeling foar oersetting dy’t de weromkear mooglik makket. As antwurden de klant net fine, liket de tunnel ferbûn en eltse oanfraach rint ôf; dat is in symptoom fan rûtering, net in flater fan VPN. Kontrolearje it werompaad as ûnderdiel fan it ûntwerp, net as in stap foar probleemoplossing.

In klantpool dy’t oerlapet mei de eigen adressearring fan it lab is de oare helte fan dit probleem, en it mislearret krekt itselde.

Reparearje it plan, net de symptomen, as de twa berikken botsje.

Behear- en internetrollen binne apart

Beslis oft allinnich ferkear fan it lab de tunnel brûkt of dat er ek in útgate nei it internet wurdt. Foegje gjin standertrûte ta allinnich om’t in hantlieding der ien brûkte, want dy beslissing feroaret wêr’t elk DNS-query en elke fernijingkontrôle hinne giet. Bewarje in bûtenpaad nei it VPN-einpunt sels, oars sil de tunnel besykje syn eigen bûtenferbining te dragen. Hâld beheartagong smel en berikber fia in goedkarde werynstelmethode.

Privee DNS kin keazen wurde foar labnammen sûnder oan te nimmen dat elk iepenbier query deselde resolver nedich hat. Dat is in beslissing oer de resolver, net oer de rûte.

Harren apart hâlden is wat de flatermodi letter ûnderskiedber makket.

Test fan bûten, net fan it LAN

Brûk in eksterne autorisearre ferbining ynstee fan in test fan itselde LAN, want in test fan itselde LAN kin in ûntbrekkende weromrûte folslein ferbergje. Kontrolearje in labadres, syn privee hostnamme, in bedoelde direkte bestimming en it easke flatergedrach. It flatergefal is like wichtich as it súksesgefal: in boarne dy’t net berikber wêze moat, moat echt net berikber wêze. Registrearje alle fjouwer resultaten foardatst it ûntwerp klear neamst.

Bewarje dan de rûte- en DNS-konfiguraasje njonken de ynventaris, mei in neamde eigner. As it lab noch in subnet krijt, aktualisearje beide en test opnij.

In ûnferklearre rûte dy’t in besteand thúsnetwurk oerlapet, is it standertresultaat fan it oerslaan fan dy stap.

It ôfmakke ûntwerp is lyts, dokumintearre en saai, en dat is krekt wat in lab fan syn netwurk wol. De nijsgjirrige ferzje is dy’t brekt wylstst fan hûs ôf bist.