VPN מהטלפון הביתה: הפוך את חומת האש ליציאה שלך לאינטרנט

חיבור טלפון למנהרה הביתית ופתיחת שיתוף קבצים ב-LAN מוכיחים שהמנהרה עובדת. זה אינו מוכיח שבקשות האינטרנט של הטלפון יוצאות דרך הבית. ההבדל בין שתי התוצאות הוא מדיניות העברה ועוד נתיב, לא עוד תיבת סימון בטלפון. זה גם ההבדל שרוב האנשים מניחים שכבר הגדירו.

שלוש החלטות מייצרות את נתיב היציאה: מה הטלפון שולח למנהרה, לאן שער הבית מעביר אותו, ומה קורה כשהמנהרה אינה שם. לכל אחת יש מצב כשל שנראה מהמסך של הטלפון כמו האחרות.

שני דילוגים, שתי מדיניויות

החיבור החיצוני מסתיים במאזין ה-VPN הביתי. החבילה הפנימית היא אובייקט נפרד שצריך להעביר אותו למקום כלשהו, וההעברה היא החלטת חומת אש שונה מקבלת המנהרה מלכתחילה.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

בנתב ביתי טיפוסי אלה חיים בקבוצות כללים שונות. קבלת המנהרה היא מדיניות קלט בממשק ה-VPN; שליחת התעבורה של הטלפון לאינטרנט היא מדיניות העברה ועוד תרגום המקור שהקישור זקוק לו. נתב שמקבל את המנהרה ולא מעביר דבר מייצר טלפון שמציג מחובר ולא טוען עמודים.

אם שירות ה-VPN פועל במכונה נפרדת בתוך הבית, הוסיפו דילוג. כעת הנתב רואה תעבורה שמגיעה מהמכונה ההיא, ולכן הכללים שלו חלים על כתובת השרת ולא על כתובת המנהרה של הטלפון, ותרגום המקור יכול לגרום לכל טלפון להיראות כמארח אחד.

המאזין אינו המסנן

החליטו היכן מתבצעת האכיפה כל עוד המידע שאתם צריכים עדיין קיים. בנתב, כתובת המנהרה של הטלפון גלויה וניתנת להתאמה ישירה. מאחורי תרגום שני היא נעלמה, וכללים שנכתבו לכתובת הטלפון אינם תואמים דבר בשקט.

זו הסיבה הרגילה לכך שמדיניות עובדת למחשב הנייד ולא לטלפון. המחשב הנייד מתחבר ישירות לנתב, הטלפון מתחבר לשרת שמעביר דרך הנתב, ורק הנתיב הראשון משמר את הכתובת שהכלל מצפה לה. הכלל אינו שגוי; הוא מתאים לערך שכבר אינו קיים באותה נקודה.

כתבו את הנתיב עם כתובת המקור כפי שהיא מופיעה בכל נקודת אכיפה. התרשים האחד הזה פותר את רוב המקרים האלה לפני שעורכים כלל כלשהו.

מה הטלפון חייב באמת לשלוח

טלפון שמקבל רק נתיב לתת-הרשת הביתית שולח למנהרה רק את התעבורה של אותה תת-רשת. כל השאר יוצא דרך הרשת הסלולרית, ולכן שיתוף הקבצים עובד ובקשות האינטרנט לעולם אינן מגיעות הביתה.

כיסוי מנהרה מלא הוא החלטת ניתוב בצד הלקוח, ויש להגדיר אותו במנגנון שהפלטפורמה תומכת בו, לא להניח אותו מהפרופיל שמותקן. לאחר שהוא מוגדר, הנתיב חזרה לשרת ה-VPN עצמו חייב להישאר מחוץ למנהרה, אחרת הלקוח לא יוכל לשמור על התעבורה שלו.

DNS ראוי להחלטה משל עצמו, מפני שהוא החלק שסביר ביותר לסטות משאר התעבורה. כתובת פותר בפרופיל היא הצעה שלקוחות מטפלים בה אחרת, ויישום עם פותר מוצפן משלו יכול ללכת בנתיב נפרד לחלוטין. אם מדיניות הבית תלויה בכך ששאילתות יגיעו לפותר מסוים, אכפו אותה במקום שבו התעבורה באמת עוברת, או השלימו עם כך ששאילתות מסוימות לא יעשו זאת. שאילתה שעוקפת את הפותר שלכם לעולם אינה מגיעה לכלל שנכתב עבורה.

IPv6 שייך לאותה פסקה כמו DNS, לא לנספח. מנהרה מלאה של IPv4 אינה אומרת דבר על תעבורת AAAA, וטלפון ברשת סלולרית כפולת מחסנית ישמח להשתמש בנתיב המקורי עבורה. בחרו נשיאה או חסימה במפורש.

מה חומת האש יכולה לראות ומה לא

השער יכול לפעול לפי מה שנקודת האכיפה שלו חושפת: כתובות, פורטים, פרוטוקול, ממשק והמטא-נתונים של החיבור. בקשת HTTPS מועברת אינה מוסרת את גוף העמוד או את הסיסמה רק מפני שהיא חוצה את המנהרה הביתית.

שווה לומר את הגבול הזה, מפני שהביטוי «העבר אותו דרך חומת האש» מרמז על בדיקה רבה יותר ממה שנתב ביתי עושה. כלל יעד, מדיניות DNS ופרוקסי בשכבת היישום הם שלושה אמצעי בקרה שונים עם שלוש עלויות פריסה שונות.

אל תניחו שתכונה שהוגדרה ללקוחות ה-LAN הביתי חלה על ממשק ה-VPN. חברות באזור היא בחירת תצורה, וממשק VPN שאינו באזור הנכון אינו יורש אף אחד מהכללים שבדקתם מהספה.

החליטו על המצב המנותק

כשהמנהרה אינה זמינה, הטלפון או נופל בחזרה לרשת הסלולרית או מסרב לשלוח את התעבורה. שניהם סבירים, ורק אחד מהם תואם את מה שרוב האנשים מאמינים שהגדירו.

נפילה לאחור נוחה ומדליפה בהגדרה: הרגע שבו המנהרה נופלת הוא הרגע שבו הבקשות יוצאות בנתיב המפעיל. חסימה חזקה יותר והופכת את הטלפון לתלוי בכך שהבית יהיה נגיש, וזהו עלות זמינות אמיתית למי שנוסע. אף אחת מההתנהגויות אינה באג; שתיהן מוצרים, ואתם בוחרים ביניהן בין אם תאמרו זאת ובין אם לא.

בדקו את הבחירה במקום להניח אותה. עצרו את שירות הבית, ואז נסו בקשה אחת מדפדפן הטלפון ואחת מיישום שרץ ברקע. התחברות מחדש מאוחר יותר אינה מבטלת בקשות שכבר יצאו.

סיימו בשתי בדיקות מבוקרות מהטלפון עצמו: פעולה אחת מותרת שאמורה לעבור דרך הבית, וסירוב אחד שמדיניות הבית אמורה לאכוף. אשרו שהשער תיעד את הזרימה שציפיתם לה, במשפחת הכתובות שציפיתם לה, אחרי התחברות מחדש. טלפון שמציג מחובר הוא תחילת האימות הזה, ולעולם לא סופו.