Hâld priveerûtes en lit de trochstjoering farre: dielde OpenVPN-tunnel
In tunnel allinnich foar priveenetwurken hat twa regels nedich: priveeprefiksen geane der trochhinne, gewoan browsen hâldt syn lokale paad. In standertrûte wiskje is gjin belied.
De tunnel komt omheech, de applikaasje ladedt, en dan begjint al it oare op de laptop frjemd te dwaan. Dat is de gewoane foarm fan belied allinnich foar priveenetwurken dat útfierd is troch ien rigel te wiskjen. It fuortheljen fan in skode standertrûte feroaret wol wêr't it ferkear hinne giet, mar it seit net wêr't it ferkear ynstee hinne moat, en it rekket namme-oplossing hielendal net. Belied hat twa positive helten nedich foar't it te testen is.
De trochstjoering wiskje is mar de helte fan de feroaring
In trochstjoering fan de folsleine tunnel en belied allinnich foar priveenetwurken ferskille yn wat se oer de wrâld beweare. De trochstjoering easket elke bestimming, wylst it priveebelied in list easket en de rest gewurde lit. De eask wiskje sûnder de list te skriuwen jout in kliïnt dy't bûten it LAN neat berikt, wat op in rûteflater liket ynstee fan op in gat yn it belied. Skriuw de list foar't jo de eask fuorthelje, en dan docht de folchoarder fan dy twa stappen der net mear ta.
Beide helten binne easken en net standertwearden. Priveeprefiksen moatte de tunnel yn, en gewoane bestimmingen moatte it paad hâlde dat se foar de ferbining hiene.
As in organisaasje de folsleine tunnel ferplichtet, jildt hjir neat fan. It ûntwerp allinnich foar priveenetwurken heart by ynsetten wêr't dielde rûtearing goedkard is.
pull-filter is in oerienkomst, gjin skeakel
De rjochtline pull-filter hellet skode opsjes fuort waans namen by in prefiks passe, en dat is alles wat it docht. De trochstjoering negearje lit elke oare skode opsje stean, wat meastentiids is wat jo wolle: rûtes, DNS-ynstellingen en de wearde fan de rûte-gateway komme noch altyd oan. It kin ek gjin rjochtline fuorthelje dy't yn it lokale profyl skreaun is, want filterjen jildt foar wat de tsjinner skoot.
Wjerstean de ferlieding om elke opsje te negearjen dy't mei route begjint. Dat patroan smyt ek de priveerûtes fuort dy't de ferbining nedich hat, en it kin gateway-ynformaasje ferlieze dêr't de tunnel fan ôfhinklik is.
route-nopull is in breder beslút as it liket. It stopet de kliïnt om skode rûtes en DHCP-eftige opsjes as groep oan te nimmen, wat in oar belied is as ien opsje útfilterje.
Skriuw de rûtelist fan de applikaasje nei bûten ta
Begjin by wat de brûker wier iepenet, en foegje dan de stypjende dielen ta. In applikaasje op 10.60.20.15 ymplisearret syn subnet 10.60.0.0/16, en in priveenamme ymplisearret de oplosser dy't dêrop antwurdet. In brûker dy't ien applikaasje frege hat, hat dus twa bestimmingen en ien DNS-beslút nedich. Alles bûten dy list is by konstruksje bûten berik, en dat is wat it belied kontrolearber hâldt.
Op in gearwurkjende tsjinner wurde dat twa skode rûtes, en gjinien fan beide is in trochstjoering. Hâld de tunnel-topology en de rûte-gateway-wearden oan dy't de besteande tsjinst leveret.
Wannear't mar guon brûkers dit belied nedich hawwe, pas it dan per kliïnt of per groep ta. It rûtearjen fan elkenien feroarje om de eask fan ien team te reparearjen is de manier wêrop in dielde tunnel in steuring wurdt.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
Lit DNS itselde paad folgje
In rûte nei de oplosser is gjin oplosserbelied. Op in systemd-resolved-kliïnt is it semantyske resultaat in rûtearringsdomein foar de priveenamteromte dat nei de ynterne oplosser wiist, en dat is wat makket dat allinnich dy nammen it brûke. In Windows-kliïnt hat ynstee syn eigen meganisme foar namterûmbebelied nedich. In DNS-tsjinnerrigel yn it profyl ynstallearret gjin fan beide op himsels.
Kontrolearje wat it bestjoeringssysteem keas ynstee fan wat it profyl frege. Op Linux lit resolvectl status it domein en de tsjinner per keppeling sjen; op Windows is de namterûmbebeliedstabel it lykweardige bewiis.
Hâld de oplosser berikber troch de tunnel, oars wiist it belied nei in adres dêr't net oan frege wurde kin. In oplosseradres dat de tunnel net berikt, feroaret in wurkjend belied yn in tiidferrin.
Kontrolearje beide helten by in werferbining
Ferbin de kliïnt nei de feroaring opnij en besjoch de effektive rûte nei in priveeadres en nei in iepenbier adres. Los dan in priveenamme en in iepenbiere namme op en befêstigje dat elk de bedoelde oplosser brûkte. Dat in iepenbiere webside ladedt, bewiist allinnich de twadde helte, en dat is de helte dy't meastentiids by tafal wurket.
Skriuw it klear belied yn ien sin op: dizze prefiksen en nammen brûke dizze ferbining, al it oare folget it lokale paad. Hâld it dan yn it profyl ynstee fan nei elke oanmelding adapter-ynstellingen te reparearjen.