Conas gan ach aon fho-líonra príobháideach amháin a sheoladh tríd an VPN

Aon fho-líonra príobháideach tríd an tollán agus gach a bhfuil eile ar do ghnáthbhealach is iarraidh bheag í a bhfuil a lán bealaí ann chun í a dhéanamh mícheart. Ní hé an tseiceáilbhosca dar teideal split tunneling a shocraíonn an toradh, ach cá gcuirtear an cinneadh i bhfeidhm: tábla bealaí an chliaint féin, bealach a bhrúnn an freastalaí, nó polasaí a idirbheartaíonn an dá cheann. Roghnaigh an ciseal mícheart agus gheobhaidh tú tollán iomlán nár theastaigh uait riamh, nó bealach isteach i dtollán a ndiúltaíonn an taobh eile glacadh leis. Úsáidim tástáil le trí choinníoll sula n-osclaím aon chumraíocht, agus ansin roghnaím ceann de na meicníochtaí thíos.

Trí choinníoll a shocraíonn an dearadh

Ar dtús, teastaíonn an réimír agus an mhasc chruinn uait ó úinéir an líonra. Ní réimír é an líonra 10.x; is réimír é 10.20.0.0/16. Deimhnigh nach ndéanann sé forluí le do LAN baile, le droichead Docker nó le VPN eile a ritheann tú, mar déanann forluí an bealach débhríoch agus roghnaíonn an t-eithne an iontráil nár bheartaigh tú.

Ar an dara dul síos, cé a fhreagraíonn an trácht fillte. Ní thugann bealach a threorú isteach sa tollán é ach chuig freastalaí an VPN. Má tá an fo-líonra taobh thiar de ródaire eile nach bhfuil bealach ar ais aige chuig do linn cliant, caithfidh an freastalaí an trácht a mhascadh, nó caithfidh an ródaire sin do linn a fhoghlaim. Ní shocraíonn aon bhealach ar thaobh an chliaint cosán fillte atá ar iarraidh.

Ar an tríú dul síos, an pointe forfheidhmithe. Suiteálann roinnt cliant bealach agus déanann an córas oibriúcháin an chuid eile. Idirbheartaíonn cinn eile polasaí, agus ní tháirgeann polasaí nach nglacann an geata leis aon tollán ar chor ar bith: caitear paicéid gan earráid fhollasach. Faigh amach cé acu den dá cheann atá agatsa sula scríobhann tú aon rud.

WireGuard: is é AllowedIPs an tábla bealaí

Ar an gcliant, liostaíonn AllowedIPs na cinn scríbe a fhéadfaidh dul isteach sa tollán, agus déanann wg-quick gnáthbhealach de gach iontráil. Mar sin is é leath an chliaint den tasc seo ná aon líne amháin.

[Peer]
PublicKey = ...
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16

Anois cuir iontráil an fhreastalaí don chliant céanna i gcomparáid. Cuireann sí síos ar an méid a sheolfaidh an freastalaí chuig an gcliant, agus is iondúil gurb é seoladh tolláin an chliaint sin, ní an fo-líonra príobháideach.

[Peer]
PublicKey = ...
AllowedIPs = 10.99.0.2/32

Is é an dá cheann sin a mhalartú an earráid is minice a fheicim. Má chuireann tú 10.20.0.0/16 faoi rannán peer an fhreastalaí, deirtear go bhfuil an fo-líonra ar fad taobh thiar den chliant sin, agus is éileamh suíomh-go-suíomh é sin, ní cead. Caitear paicéid nach gcomhoireann le AllowedIPs aon peer amach go ciúin, mar sin breathnaíonn iontráil mhícheart go beacht cosúil le fadhb balla dóiteáin.

Má bhainistíonn tú na bealaí féin, socraigh Table = off faoi [Interface] agus cuir an bealach atá uait leis. Ansin ní chuirtear aon rud leis go huathoibríoch, mar sin baineann an bealach leis an rud a ardaíonn an comhéadan.

OpenVPN: brúigh an bealach amach, ansin déan cinnte go dtagann sé i dtír

Ar ghnáthfhreastalaí is é an t-athrú aon treoir amháin i gcumraíocht an fhreastalaí, in aice le linn na gcliant.

push "route 10.20.0.0 255.255.0.0"

Cuireann an cliant leis é nuair a nascann sé. Taispeántar an mód teipe nuair a bhrúnn an próifíl chéanna redirect-gateway amach freisin, nó nuair a bheith duine éigin tar éis route-nopull a chur leis cheana: déanann an chéad cheann tollán iomlán den seisiún, agus caitheann an dara ceann gach bealach brúite amach, do cheannsa san áireamh.

Ba chóir do chliant a bhfuil iompar cúng uaidh i gcoinne freastalaí tolláin iomláin neamhaird a dhéanamh de na codanna nach dteastaíonn uaidh amháin. In OpenVPN 2.4 agus níos déanaí, tá pull-filter ann go díreach chuige sin.

pull-filter ignore "redirect-gateway"
route 10.20.0.0 255.255.0.0

Coinnigh teaghlaigh seoltaí ar leithligh: ní dhéanann bealach IPv4 brúite aon rud d'fheidhm inmheánach a réitíonn go IPv6, agus teipeann an fheidhm sin tríd an tollán agus breathnaíonn gach rud eile go maith.

Nuair nach bhfuil an fo-líonra príobháideach ar fhreastalaí an VPN ach taobh thiar de chliant eile, caithfear a rá leis an bhfreastalaí. Cuir comhad in aghaidh an chliaint leis trí client-config-dir ina bhfuil iroute 10.20.0.0 255.255.0.0, móide an route chomhfhreagrach ionas go bhfoghlaimíonn cliaint eile an cosán. Gan iroute níl cúis ar bith ag an bhfreastalaí an réimír sin a sheoladh síos an tollán áirithe sin.

IPsec: caithfidh na roghnóirí tráchta teacht le chéile

Le IPsec níl aon bhealach le brú amach. Idirbheartaíonn an dá cheann cé na seoltaí a chónaíonn taobh istigh den tollán, agus ní dhéantar trácht lasmuigh de na roghnóirí a comhaontaíodh a chriptiú ná a sheoladh tríd. Ar chliant strongSwan tá na roghnóirí follasach.

leftsubnet=192.168.1.0/24
rightsubnet=10.20.0.0/16

Má tá an geata cumraithe le 0.0.0.0/0 ar an dá thaobh, laghdaíonn cúngú IKEv2 an t-SA linbh go dtí trasnú an dá mholadh de ghnáth, agus sin an toradh atá uait. Diúltaíonn roinnt geataí do mholadh nach gcomhoireann lena roghnóirí cumraithe, agus ansin taispeánann an logáil SA linbh teipthe seachas gearán bealaigh. Nuair a tharlaíonn sé sin baineann an t-athrú leis an geata, mar ní féidir le bealach cliaint tollán a chruthú do roghnóir nach nglacfaidh an taobh eile leis.

Ar Windows folaíonn an cliant ionsuite an cinneadh céanna taobh thiar de dhá shocrú. Caithfidh roinnt an tolláin a bheith ar siúl, agus caithfear an réimír a chlárú leis an bpróifíl.

Set-VpnConnection -Name Office -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.20.0.0/16

Is é clárú na réimíre a chuireann ar a chumas teacht slán as athnascadh, rud nach ndéanann bealach a cuireadh leis de láimh.

Coinnigh an críochphointe agus DNS lasmuigh den chinneadh

Caithfidh críochphointe an VPN fanacht inrochtana gan an tollán, nó titeann an tollán isteach ann féin. Nuair nach ndéantar ach 10.20.0.0/16 a threorú tá sé sin uathoibríoch, ós rud é gur seoladh poiblí é an críochphointe. Ar phróifíl tolláin iomláin níl sé amhlaidh, agus teastaíonn ón gcliant bealach óstaigh fhollasach chuig an gcríochphointe sula n-ardaítear an tollán.

Is é DNS an dara cinneadh nach ndéanann brú bealaigh ar do shon. Réitítear ainmneacha inmheánacha de ghnáth trí réititheoir nach féidir ach leis an líonra príobháideach rochtain a fháil air. Má bhrúnn an freastalaí freastalaí DNS amach, téann gach ainm tríd; mura ndéanann, teipeann ar ainmneacha inmheánacha nó réitítear go poiblí iad go rud éigin nár bheartaigh tú. Coinníonn DNS roinnte aon fhearann cuardaigh ar an réititheoir inmheánach, ach braitheann sé ar thacaíocht an chliaint, mar sin caith leis mar thasc ar leith seachas mar fho-iarmhairt na treorach.

Fíoraigh, atosaigh ansin agus fíoraigh arís

Clúdaíonn trí phromhadh ceist na treorach. Fiafraigh den eithne cá rachadh seoladh i bhfad i gcéin, faigh rud éigin ó thaobh istigh den fho-líonra, ansin deimhnigh go bhfágann gnáthiarraidh phoiblí fós trí do ghnáthnasc.

ip route get 10.20.5.7
curl -sS http://10.20.5.7/health
curl -sS https://ifconfig.me

Ainmníonn an chéad líne comhéadan. Má ainmníonn sí do chomhéadan fisiciúil, níor tháinig an bealach i dtír riamh. Ar Windows freagraíonn Find-NetRoute -RemoteIPAddress 10.20.5.7 an cheist chéanna, agus ba chóir go dtaispeánfadh an promhadh deireanach do ghnáthsheoladh fós seachas seoladh fhreastalaí an VPN.

Atosaigh ansin. Imíonn bealaí a cuireadh leis de láimh, agus tagann bealaí ón bpróifíl, ó chumraíocht bhrúite nó ó AllowedIPs ar ais. Má oibríonn rochtain chúng roimh an atosú agus má theipeann sí ina dhiaidh, tá an locht ar an gcaoi a dtosaíonn an tollán, ní ar an mbealach féin.

Sula nglaonn tú críochnaithe air, deimhnigh ceithre rud: tháinig an réimír ó úinéir an líonra agus ní dhéanann sí forluí le haon rud áitiúil, tá an cosán fillte ann nó cuireann riail mhascála ina ionad, is é an mheicníocht a chumraigh tú an ceann a chuireann treorú i bhfeidhm ar do ardán, agus éiríonn leis na promhaidh chéanna tar éis atosú glan. Tá nótaí seolta strongSwan fiú iad a léamh má tá an cosán fillte ar an gcuid a theipeann arís agus arís eile.