फ़ोन VPN से घर तक: फ़ायरवॉल को अपना इंटरनेट निकास बनाएँ

फ़ोन को घर की सुरंग से जोड़ना और LAN फ़ाइल शेयर खोलना साबित करता है कि सुरंग काम करती है। यह साबित नहीं करता कि फ़ोन की इंटरनेट माँगें घर से होकर बाहर जाती हैं। इन दोनों नतीजों के बीच का अंतर फ़ॉरवर्डिंग नीति और एक रूट है, फ़ोन पर एक और चेकबॉक्स नहीं। यह वही अंतर भी है जिसे ज़्यादातर लोग मान लेते हैं कि उन्होंने पहले ही कॉन्फ़िगर कर लिया है।

तीन फ़ैसले निकास पथ बनाते हैं: फ़ोन सुरंग में क्या भेजता है, घर का गेटवे उसे कहाँ फ़ॉरवर्ड करता है, और सुरंग न होने पर क्या होता है। हर एक की एक विफलता अवस्था है जो फ़ोन की स्क्रीन से दूसरों जैसी दिखती है।

दो छलाँगें, दो नीतियाँ

बाहरी कनेक्शन घर के VPN श्रोता पर समाप्त होता है। भीतरी पैकेट एक अलग वस्तु है जिसे कहीं फ़ॉरवर्ड करना पड़ता है, और फ़ॉरवर्डिंग सुरंग को स्वीकार करने से अलग फ़ायरवॉल फ़ैसला है।

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

आम घर के राउटर पर ये अलग नियम-समूहों में रहते हैं। सुरंग स्वीकार करना VPN इंटरफ़ेस पर इनपुट नीति है; फ़ोन का ट्रैफ़िक इंटरनेट पर भेजना फ़ॉरवर्डिंग नीति और वह स्रोत अनुवाद है जो अपलिंक को चाहिए। जो राउटर सुरंग स्वीकार करता है और कुछ फ़ॉरवर्ड नहीं करता, वह ऐसा फ़ोन देता है जो जुड़ा दिखता है और कोई पृष्ठ लोड नहीं करता।

अगर VPN सेवा घर के भीतर अलग मशीन पर चलती है, तो एक छलाँग जोड़ें। अब राउटर उस मशीन से आता ट्रैफ़िक देखता है, इसलिए उसके नियम फ़ोन के सुरंग पते पर नहीं बल्कि सर्वर के पते पर लागू होते हैं, और स्रोत अनुवाद हर फ़ोन को एक ही होस्ट जैसा दिखा सकता है।

श्रोता फ़िल्टर नहीं है

तय करें कि प्रवर्तन कहाँ होता है, जब तक आपको चाहिए जानकारी मौजूद है। राउटर पर फ़ोन का सुरंग पता दिखता है और सीधे मिलाया जा सकता है। दूसरे अनुवाद के पीछे वह चला जाता है, और फ़ोन के पते के लिए लिखे नियम चुपचाप किसी से मेल नहीं खाते।

यही आम कारण है कि नीति लैपटॉप के लिए काम करती है और फ़ोन के लिए नहीं। लैपटॉप सीधे राउटर से जुड़ता है, फ़ोन ऐसे सर्वर से जुड़ता है जो राउटर से होकर फ़ॉरवर्ड करता है, और सिर्फ़ पहला पथ वह पता बचाता है जिसकी नियम अपेक्षा करता है। नियम ग़लत नहीं है; वह ऐसे मान से मेल खाता है जो उस बिंदु पर अब मौजूद नहीं है।

हर प्रवर्तन बिंदु पर दिखते स्रोत पते के साथ पथ लिख लें। वही एक आरेख किसी भी नियम को संपादित करने से पहले इनमें से ज़्यादातर मामले सुलझा देता है।

फ़ोन को वास्तव में क्या भेजना चाहिए

जिस फ़ोन को सिर्फ़ घर के सबनेट का रूट मिलता है, वह सिर्फ़ उसी सबनेट का ट्रैफ़िक सुरंग में भेजता है। बाक़ी सब मोबाइल नेटवर्क से बाहर जाता है, इसलिए फ़ाइल शेयर काम करता है और इंटरनेट माँगें कभी घर तक नहीं पहुँचतीं।

पूरी सुरंग कवरेज क्लाइंट पक्ष का रूटिंग फ़ैसला है, और इसे प्लेटफ़ॉर्म की समर्थित विधि से सेट करना चाहिए, इंस्टॉल हो रही प्रोफ़ाइल से मान नहीं लेना चाहिए। एक बार सेट होने पर, VPN सर्वर तक वापसी का रूट सुरंग के बाहर रहना चाहिए, वरना क्लाइंट अपना परिवहन नहीं बनाए रख सकता।

DNS अपने अलग फ़ैसले का हक़दार है, क्योंकि यही वह हिस्सा है जो बाक़ी ट्रैफ़िक से सबसे ज़्यादा अलग हो सकता है। प्रोफ़ाइल में रिज़ॉल्वर पता एक सुझाव है जिसे क्लाइंट अलग तरह से संभालते हैं, और अपने एन्क्रिप्टेड रिज़ॉल्वर वाला ऐप पूरी तरह अलग रास्ता ले सकता है। अगर घर की नीति इस पर निर्भर है कि माँगें किसी ख़ास रिज़ॉल्वर तक पहुँचें, तो उसे वहीं लागू करें जहाँ ट्रैफ़िक वास्तव में गुज़रता है, या मान लें कि कुछ माँगें ऐसा नहीं करेंगी। आपके रिज़ॉल्वर को बचने वाली माँग उसके लिए लिखे नियम तक कभी नहीं पहुँचती।

IPv6 DNS जैसे ही अनुच्छेद में आता है, परिशिष्ट में नहीं। पूरी IPv4 सुरंग AAAA ट्रैफ़िक के बारे में कुछ नहीं कहती, और दोहरी स्टैक वाले मोबाइल नेटवर्क का फ़ोन उसके लिए मूल पथ ख़ुशी से इस्तेमाल करेगा। ढुलाई या अवरोध स्पष्ट रूप से चुनें।

फ़ायरवॉल क्या देख सकता है और क्या नहीं

गेटवे उस पर काम कर सकता है जो उसका प्रवर्तन बिंदु उजागर करता है: पते, पोर्ट, प्रोटोकॉल, इंटरफ़ेस और कनेक्शन का मेटाडेटा। फ़ॉरवर्ड की गई HTTPS माँग सिर्फ़ इसलिए पृष्ठ का मुख्य भाग या पासवर्ड नहीं सौंपती कि वह घर की सुरंग पार करती है।

यह सीमा बताने लायक है, क्योंकि «इसे फ़ायरवॉल से गुज़ारें» वाक्यांश घर के राउटर से ज़्यादा जाँच का संकेत देता है। गंतव्य नियम, DNS नीति और एप्लिकेशन-स्तर प्रॉक्सी तीन अलग नियंत्रण हैं, तीन अलग तैनाती लागतों के साथ।

यह न मानें कि घर के LAN क्लाइंट के लिए कॉन्फ़िगर की गई सुविधा VPN इंटरफ़ेस पर भी लागू होती है। ज़ोन सदस्यता कॉन्फ़िगरेशन की पसंद है, और जो VPN इंटरफ़ेस सही ज़ोन में नहीं है वह उनमें से कोई नियम विरासत में नहीं पाता जिन्हें आपने सोफ़े से जाँचा था।

डिस्कनेक्टेड स्थिति तय करें

जब सुरंग उपलब्ध नहीं होती, तो फ़ोन या तो मोबाइल नेटवर्क पर लौट जाता है या ट्रैफ़िक भेजने से इनकार कर देता है। दोनों ही उचित हैं, और इनमें से सिर्फ़ एक उससे मेल खाता है जो ज़्यादातर लोग मानते हैं कि उन्होंने कॉन्फ़िगर किया है।

वापसी सुविधाजनक है और परिभाषा से लीक करती है: जिस पल सुरंग गिरती है, उसी पल माँगें कैरियर के रास्ते बाहर जाती हैं। अवरोध ज़्यादा मज़बूत है और फ़ोन को इस पर निर्भर बनाता है कि घर पहुँच में रहे, जो सफ़र करने वाले के लिए असली उपलब्धता लागत है। दोनों में से कोई व्यवहार बग नहीं है; दोनों उत्पाद हैं, और आप कहें या न कहें, इनके बीच चुन रहे हैं।

चुनाव को मानने के बजाय जाँचें। घर की सेवा रोकें, फिर फ़ोन के ब्राउज़र से एक माँग और पृष्ठभूमि में चल रहे किसी ऐप से एक माँग आज़माएँ। बाद में फिर से जुड़ना उन माँगों को नहीं मिटाता जो पहले ही जा चुकी हैं।

फ़ोन से ही दो नियंत्रित जाँचों के साथ समाप्त करें: एक अनुमत क्रिया जो घर से गुज़रनी चाहिए, और एक अस्वीकृति जिसे घर की नीति लागू करनी चाहिए। पुष्टि करें कि गेटवे ने वही प्रवाह, उसी पता-परिवार में, फिर से जुड़ने के बाद दर्ज किया जिसकी आपने अपेक्षा की थी। «जुड़ा» दिखाता फ़ोन उस सत्यापन की शुरुआत है, कभी अंत नहीं।