ખાનગી રૂટ રાખો અને રીડાયરેક્ટ દૂર કરો: OpenVPN વિભાજિત ટનલ
ફક્ત ખાનગી નેટવર્ક માટેની ટનલને બે નિયમ જોઈએ: ખાનગી પ્રીફિક્સ તેમાંથી પસાર થાય છે, સામાન્ય બ્રાઉઝિંગ તેનો સ્થાનિક માર્ગ રાખે છે. ડિફૉલ્ટ રૂટ કાઢી નાખવો એ નીતિ નથી.
ટનલ ઉપર આવે છે, એપ્લિકેશન લોડ થાય છે, અને પછી લેપટોપ પરનું બાકીનું બધું વિચિત્ર રીતે વર્તવા લાગે છે. એક લીટી કાઢી નાખીને અમલમાં મૂકાયેલી ફક્ત-ખાનગી નીતિનું આ સામાન્ય સ્વરૂપ છે. પુશ કરેલો ડિફૉલ્ટ રૂટ દૂર કરવાથી ટ્રાફિક ક્યાં જાય છે તે ખરેખર બદલાય છે, પણ તે એ નથી કહેતું કે ટ્રાફિકને તેના બદલે ક્યાં જવું જોઈએ, અને તે નામ-ઉકેલને જરાય સ્પર્શતું નથી. પરીક્ષણ કરી શકાય તે પહેલાં નીતિને બે હકારાત્મક અર્ધ ભાગ જોઈએ.
રીડાયરેક્ટ દૂર કરવો એ ફેરફારનો માત્ર અડધો ભાગ છે
સંપૂર્ણ-ટનલ રીડાયરેક્ટ અને ફક્ત-ખાનગી નીતિ વિશ્વ વિશે જે દાવો કરે છે તેમાં ભિન્ન છે. રીડાયરેક્ટ દરેક ગંતવ્યનો દાવો કરે છે, જ્યારે ખાનગી નીતિ એક યાદીનો દાવો કરે છે અને બાકીનું શાંત રહેવા દે છે. યાદી લખ્યા વિના દાવો દૂર કરવાથી એવો ક્લાઇન્ટ બને છે જે LANની બહાર ક્યાંય પહોંચતો નથી, જે નીતિના અંતર કરતાં રૂટિંગ નિષ્ફળતા જેવું લાગે છે. દાવો દૂર કરતાં પહેલાં યાદી લખો, અને પછી એ બે પગલાંનો ક્રમ મહત્ત્વનો રહેતો નથી.
બંને અર્ધ ભાગ ડિફૉલ્ટ નહીં પણ આવશ્યકતા છે. ખાનગી પ્રીફિક્સ ટનલમાં દાખલ થવું જોઈએ, અને સામાન્ય ગંતવ્યોએ કનેક્શન પહેલાંનો માર્ગ રાખવો જોઈએ.
જો સંસ્થા સંપૂર્ણ ટનલ ફરજિયાત કરે, તો આમાંથી કંઈ લાગુ પડતું નથી. ફક્ત-ખાનગી રચના એવા જમાવડાં માટે છે જ્યાં વિભાજિત રૂટિંગ મંજૂર છે.
pull-filter એ મેળ છે, સ્વિચ નહીં
pull-filter નિર્દેશ એવા પુશ કરેલા વિકલ્પો દૂર કરે છે જેમના નામ પ્રીફિક્સ સાથે મેળ ખાય છે, અને તે આટલું જ કરે છે. રીડાયરેક્ટ અવગણવાથી બાકીનો દરેક પુશ કરેલો વિકલ્પ જ્યાં છે ત્યાં રહે છે, જે સામાન્ય રીતે તમે ઇચ્છો છો તે જ છે: રૂટ, DNS સેટિંગ્સ અને રૂટ-ગેટવે મૂલ્ય હજી પણ આવે છે. તે સ્થાનિક પ્રોફાઇલમાં લખેલો નિર્દેશ પણ દૂર કરી શકતું નથી, કારણ કે ફિલ્ટરિંગ સર્વર જે પુશ કરે છે તેના પર લાગુ પડે છે.
route થી શરૂ થતા દરેક વિકલ્પને અવગણવાના પ્રલોભનનો પ્રતિકાર કરો. એ પેટર્ન કનેક્શનને જરૂરી ખાનગી રૂટ પણ ફેંકી દે છે, અને ટનલ જે ગેટવે માહિતી પર આધાર રાખે છે તે ગુમાવી શકે છે.
route-nopull દેખાય તેના કરતાં વધુ વ્યાપક નિર્ણય છે. તે ક્લાઇન્ટને પુશ કરેલા રૂટ અને DHCP-શૈલીના વિકલ્પોને એક જૂથ તરીકે સ્વીકારતું અટકાવે છે, જે એક વિકલ્પ ફિલ્ટર કરવા કરતાં ભિન્ન નીતિ છે.
એપ્લિકેશનથી બહારની તરફ રૂટ યાદી લખો
વપરાશકર્તા ખરેખર શું ખોલે છે તેનાથી શરૂ કરો, પછી સહાયક ભાગો ઉમેરો. 10.60.20.15 પરની એપ્લિકેશન તેનું સબનેટ 10.60.0.0/16 સૂચવે છે, અને ખાનગી નામ તેનો જવાબ આપતું રિઝોલ્વર સૂચવે છે. તેથી એક એપ્લિકેશન માગનારા વપરાશકર્તાને બે ગંતવ્ય અને એક DNS નિર્ણય જોઈએ. એ યાદીથી આગળનું બધું રચનાથી જ અવકાશની બહાર છે, અને એ જ નીતિને સમીક્ષાયોગ્ય રાખે છે.
સહયોગી સર્વર પર તે બે પુશ કરેલા રૂટ બને છે, અને તેમાંથી એક પણ રીડાયરેક્ટ નથી. હાલની સેવા જે ટનલ ટોપોલોજી અને રૂટ-ગેટવે મૂલ્યો પૂરા પાડે છે તે રાખો.
જ્યારે ફક્ત કેટલાક વપરાશકર્તાઓને આ નીતિની જરૂર હોય, ત્યારે તેને પ્રતિ ક્લાઇન્ટ કે પ્રતિ જૂથ લાગુ કરો. એક ટીમની આવશ્યકતા સુધારવા બધાનું રૂટિંગ બદલવું એ જ રીત છે જેમાં વિભાજિત ટનલ વિક્ષેપ બને છે.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
DNS ને એ જ માર્ગે ચાલવા દો
રિઝોલ્વર તરફનો રૂટ રિઝોલ્વર નીતિ નથી. systemd-resolved ક્લાઇન્ટ પર અર્થગત પરિણામ એ ખાનગી નામ અવકાશ માટેનું રૂટિંગ ડોમેન છે જે આંતરિક રિઝોલ્વર તરફ નિર્દેશ કરે છે, અને એ જ એ નામોને તેનો ઉપયોગ કરાવે છે. Windows ક્લાઇન્ટને તેના બદલે પોતાની નામ અવકાશ નીતિની પદ્ધતિ જોઈએ. પ્રોફાઇલમાંની DNS સર્વર લીટી પોતાની રીતે એમાંથી એક પણ સ્થાપિત કરતી નથી.
પ્રોફાઇલે શું માગ્યું તે નહીં, ઓપરેટિંગ સિસ્ટમે શું પસંદ કર્યું તે તપાસો. Linux પર resolvectl status પ્રતિ-લિંક ડોમેન અને સર્વર બતાવે છે; Windows પર નામ અવકાશ નીતિ કોષ્ટક સમતુલ્ય પુરાવો છે.
રિઝોલ્વરને ટનલ દ્વારા પહોંચવાયોગ્ય રાખો, નહીં તો નીતિ એવા સરનામા તરફ નિર્દેશ કરે છે જેને પૂછી શકાતું નથી. ટનલ જે રિઝોલ્વર સરનામા સુધી પહોંચી શકતી નથી તે કામ કરતી નીતિને સમય-મર્યાદામાં ફેરવે છે.
ફરી જોડાણ વખતે બંને અર્ધ ચકાસો
ફેરફાર પછી ક્લાઇન્ટ ફરી જોડો અને ખાનગી સરનામા તથા જાહેર સરનામા તરફનો અસરકારક રૂટ તપાસો. પછી એક ખાનગી નામ અને એક જાહેર નામ ઉકેલો અને ખાતરી કરો કે દરેકે ઇચ્છિત રિઝોલ્વર વાપર્યું. જાહેર વેબસાઇટ લોડ થવી ફક્ત બીજો અર્ધ સાબિત કરે છે, અને સામાન્ય રીતે એ જ અર્ધ આકસ્મિક રીતે કામ કરે છે.
તૈયાર નીતિ એક વાક્યમાં નોંધો: આ પ્રીફિક્સ અને નામ આ કનેક્શન વાપરે છે, બાકીનું બધું સ્થાનિક માર્ગે ચાલે છે. પછી દરેક લૉગિન પછી એડેપ્ટર સેટિંગ્સ સુધારવાને બદલે તેને પ્રોફાઇલમાં રાખો.