VPN-regels op de router: koppel de boarne en de bestimming
In VPN-regel op de router hat twa einen: it apparaat dat ferkear stjoert en de bestimming dy’t de tunnel brûke moat. Beslis earst de krusing en it weromfallen.
Winkelsiden foar routers jouwe VPN-routing as ien oanfinkfakje, en dy sinsnede ferberget trije ferskillende fragen. Past de regel by it apparaat dat it ferkear stjoert, by de tsjinner dy’t it ûntfangt, of by beide? Wat bart der mei ferkear dat by gjin fan beide past? En as twa regels oerlappe, hokker wint dan? As jo it antwurd as in pear fan boarne en bestimming opskriuwe, wurde in ûndúdlik funksjelist in testber ûntwerp.
De funksjenamme ferberget twa einen
In mediaspiler dy’t de tunnel brûke moat, is in boarne-oerienkomst. In privee kantoarprefiks dat troch de tunnel berikber wêze moat, is in bestimming-oerienkomst. In wurkstasjon dat de tunnel allinnich foar ien tsjinst brûke moat, is beide, en dy krusing is it gefal dat de measte konsumintefirmware min oanpakt.
Skriuw de eask as in pear op foardat jo produkten ferlykje. Dat pear is wat jo letter testen sille.
In produkt dat in apparaatlist of in globale bestimmingslist biedt, kin miskien net «allinnich dit apparaat, allinnich dizze bestimmings» útdrukke. It gat is net kosmetysk: in globale bestimmingsregel stjoert it ferkear fan elk apparaat nei dy side troch de tunnel, en in apparaatregel stjoert al it ferkear fan dat apparaat. Gjin fan beide is de eask. Test dat gefal mei twa apparaten foardat jo it skerm fertrouwe.
Bou de regel as in krusing
In tabel hâldt it ûntwerp earlik. Set it senario links, en neam dan de stjoerder-oerienkomst en de doel-oerienkomst apart:
| Scenario | Sender match | Target match | Rule shape |
|---|---|---|---|
| Media player uses the tunnel | Player address | Any internet destination except the LAN | Source only |
| Office prefix reachable | Authorized LAN devices | 10.40.0.0/16 | Target only |
| One app on one laptop | Laptop address | The service address set | Source and target |
| Guest network never tunnels | Guest subnet | Any | Deny, evaluated first |
De tredde rige is de nijsgjirrige, want dy hat beide helten tagelyk nedich. As de firmware mar ien as útdrukke kin, moat de eask yn twa regels splitst wurde of nei in apparaat ferpleatst wurde dat it kin.
Hâld de identiteit fan de boarne stabyl. In DHCP-reservearring, in apart segmint of in apparaat-identiteitsmeganisme wurkje allegear, mar in adres dat feroaret nei’t de lease ôfrûn is, wurket net. Nim IPv6 op, want ien IPv4-adres identifisearret net al it ferkear fan in apparaat.
Prioriteit beslist de oerlaap
Oerlappende regels binne normaal. In brede apparaatregel en in smelle bestimmingsregel kinne beide ien stream beskriuwe, en de dokumintearre prioriteitsfolchoarder beslist hokker wint. In oantreklik ynstellingsskerm fertelt jo dy folchoarder net.
Lês de hânlieding foar de folchoarder en foar it gefal sûnder oerienkomst, en test dan beide mei ferkear dat jo besjen kinne:
ip rule show
ip route get 203.0.113.10As de dokumintaasje de folchoarder net neamt, nim dan oan dat de smellere regel miskien net wint en ûntwerp dêr omhinne. Twa regels dy’t net yn konflikt komme kinne, binne makliker te stypjen as ien tûke regel mei in ûndokumintearre foarrang.
Nammen hawwe in ferfarskingsbelied nedich
In bestimming skreaun as domein foeget in ûnderhâldsprobleem ta. De router moat it oplosse, de mapping ferfarskje, meardere adressen en subdomeinen oanpakke, en omgean mei applikaasje-DNS dat de ferwachte oplosser bypasset.
Ien sykresultaat yn in IP-regel kopiearje is in momintopname, gjin domeinbelied.
Beslis hoe ferâldere in antwurd wêze mei foardat de regel ferkeard is, en wat de router docht as it oplossen mislearret. In regel dy’t it lêst bekende adres hâldt, kin in tsjinstmigraasje oerlibje; in regel dy’t de ynfier weilitten, kin it tunneljen stil stopje. Beide gedrach is akseptabel as it njonken de regel opskreaun is.
Bepaal de net-beskikbere steat
In rûtefoarkar twingt gjin ferkear dat allinnich troch VPN giet, ôf. As de tunnel del is, kin de router de stream blokkearje, direkt stjoere of in oare tunnel brûke, en elke kar hat in oar flaterprofyl.
Beslis hokker de eask nedich hat, en ferifiearje it dan troch de tunnel te stopjen en de stream te folgjen:
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10Ferkear dat by de router sels ûntstiet, is in apart berik. DNS-oerstjoering, fernijingskontrôles en monitoring kinne nije streamen by de router sels begjinne ynstee fan de boarne-oerienkomst fan it apparaat te erven. Rekkenje eksplisyt mei dy streamen, oars ferskine se as ûnferklearre lekken yn ’e logboeken.