Tillefoan-VPN nei hûs: meitsje de firewall dyn ynternetútgong

In tillefoan oan 'e thústoannel keppelje en in LAN-bestânsdieling iepenje bewiist dat de toannel wurket. It bewiist net dat de ynternetfersiken fan 'e tillefoan troch it hûs nei bûten geane. It ferskil tusken dy twa útkomsten is in trochstjoerbelied plus in rûte, net noch in oanfinkfakje op 'e tillefoan. It is ek it ferskil dat de measte minsken oannimme dat se it al konfigurearre hawwe.

Trije besluten meitsje it útgongspaad: wat de tillefoan de toannel yn stjoert, wêr't de thúsgate it trochstjoert, en wat der bart as de toannel der net is. Elk hat in flatermodus dy't fan it skerm fan 'e tillefoan ôf op 'e oaren liket.

Twa sprongen, twa beliedsregels

De bûtenferbining einiget by de thús-VPN-ôfharker. It binnenpakket is in apart objekt dat earne hinne trochstjoerd wurde moat, en trochstjoering is in oar firewallbeslút as it akseptearjen fan 'e toannel yn it foarste plak.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Op in typyske thúsrûter libje dizze yn ferskillende regelsets. De toannel akseptearje is ynfierbelied op 'e VPN-ynterface; it ferkear fan 'e tillefoan nei it ynternet stjoere is trochstjoerbelied plus de boarnfertaling dy't de ferbining nedich hat. In rûter dy't de toannel akseptearret en neat trochstjoert, makket in tillefoan dy't ferbûn toant en gjin siden laden.

As de VPN-tsjinst op in aparte masine yn it hûs draait, foegje in sprong ta. De rûter sjocht no ferkear dat fan dy masine komt, dus syn regels jilde foar it adres fan 'e tsjinner ynstee fan it toanneladres fan 'e tillefoan, en boarnfertaling kin elke tillefoan as ien host lykje litte.

De ôfharker is net it filter

Beslis wêr't de hanthavening bart wylst de ynformaasje dy't jo nedich hawwe noch bestiet. Op 'e rûter is it toanneladres fan 'e tillefoan sichtber en kin it direkt oerienkomme. Efter in twadde fertaling is it fuort, en regels skreaun foar it adres fan 'e tillefoan komme stil mei neat oerien.

Dit is de gewoane reden dat in belied foar de laptop wurket en net foar de tillefoan. De laptop ferbynt direkt mei de rûter, de tillefoan ferbynt mei in tsjinner dy't troch de rûter stjoert, en allinnich it earste paad bewarret it adres dat de regel ferwachtet. De regel is net ferkeard; hy komt oerien mei in wearde dy't op dat punt net mear bestiet.

Skriuw it paad op mei it boarne-adres sa't it by elk hanthaveningspunt ferskynt. Dat iene diagram lost de measte fan dizze gefallen op foardat in regel bewurke wurdt.

Wat de tillefoan eins stjoere moat

In tillefoan dy't allinnich in rûte nei it thússubnet krijt, stjoert allinnich it ferkear fan dat subnet de toannel yn. Al it oare giet oer it mobile netwurk nei bûten, dêrom wurket de bestânsdieling en berikke de ynternetfersiken it hûs nea.

Folledige toanneldekking is in rûtebeslút oan 'e kliïntkant, en it moat ynsteld wurde mei it meganisme dat it platfoarm stipet, net oannommen wurde út it profyl dat ynstallearre wurdt. Sadree't it ynsteld is, moat de rûte werom nei de VPN-tsjinner sels bûten de toannel bliuwe, oars kin de kliïnt syn eigen transport net behâlde.

DNS fertsjinnet syn eigen beslút, want it is it diel dat it meast wierskynlik ôfwykt fan 'e rest fan it ferkear. In oplosseradres yn it profyl is in suggestje dy't kliïnten oars behannelje, en in applikaasje mei syn eigen fersifere oplosser kin in hiel apart paad nimme. As it thúsbelied ôfhinget fan it berikken fan in bepaald oplosser troch de fragen, hanthavenje it dan wêr't it ferkear echt lâns giet, of akseptearje dat guon fragen dat net sille dwaan. In fraach dy't jo oplosser omslacht, berikt nea in regel dy't derfoar skreaun is.

IPv6 heart yn deselde paragraaf as DNS, net yn in taheaksel. In folsleine IPv4-toannel seit neat oer AAAA-ferkear, en in tillefoan op in mobyl netwurk mei dûbele stapel sil der graach it lânseigen paad foar brûke. Kies ferfier of blokkearjen eksplisyt.

Wat de firewall wol en net sjen kin

De gate kin hannelje op wat syn hanthaveningspunt bleatleit: adressen, poarten, protokol, ynterface en de metadata fan 'e ferbining. In trochstjoerde HTTPS-fersyk jout de side-ynhâld of it wachtwurd net wei krekt om't it de thústoannel krúst.

Dy grins is it neamen wurdich, want de útdrukking «stjoer it troch de firewall» ymplisearret mear ynspeksje as in thúsrûter docht. In bestimmingsregel, in DNS-belied en in proxy op applikaasjelaech binne trije ferskillende kontrôles mei trije ferskillende útrôlkosten.

Nim net oan dat in funksje dy't foar thús-LAN-kliïnten konfigurearre is, jildt foar de VPN-ynterface. Sône-lidmaatskip is in konfiguraasjekar, en in VPN-ynterface dy't net yn 'e goede sône sit, erft gjin ien fan 'e regels dy't jo fan 'e bank ôf testten.

Beslis de ûntkoppele tastân

As de toannel net beskikber is, falt de tillefoan werom op it mobile netwurk of wegeret er it ferkear te stjoeren. Beide binne ridlik, en mar ien fan beide komt oerien mei wat de measte minsken tinke dat se konfigurearre hawwe.

Weromfal is handich en lekt per definysje: it momint dat de toannel falt is it momint dat fersiken oer it paad fan 'e operator nei bûten geane. Blokkearjen is sterker en makket de tillefoan ôfhinklik fan it berikber wêzen fan it hûs, wat in echte beskikberenskoste is foar ien dy't reizget. Gjin fan beide gedrach is in bug; beide binne produkten, en jo kieze der tusken, oft jo dat no sizze of net.

Test de kar ynstee fan him oan te nimmen. Stop de thústsjininst, besykje dan ien fersyk fan 'e browser fan 'e tillefoan en ien fan in applikaasje dy't op 'e eftergrûn draait. Letter wer ferbine makket de fersiken dy't al fuort binne net ûngedien.

Einigje mei twa kontrolearre kontrôles fan 'e tillefoan sels: ien tastiene operaasje dy't troch it hûs gean moat, en ien wegering dy't it thúsbelied hanthavenje moat. Befêstigje dat de gate de stream registrearre hat dy't jo ferwachten, yn 'e adresfamylje dy't jo ferwachten, nei in werferbining. In tillefoan dy't Ferbûn toant is it begjin fan dy ferifikaasje, nea it ein.