Downstream alhálózat vs. asztali VPN: a tranzitet zárja ki, ne az alkalmazásokat

Egy gép, két feladat, egy tűzfal: Wi-Fi feltöltő kapcsolat, mögötte egy kis Ethernet-alhálózat, és egy asztali VPN-kliens, amely feltételezi, hogy minden, ami a gépből kilép, helyi. A helyben indított alkalmazások a helyi kimeneti útvonalon lépnek ki. A munkaállomás mögötti eszközök az Ethernet-porton érkeznek, és továbbítási döntésre van szükségük. Az első útvonalra írt kivétel soha nem látja a másodikat, és ezért kerüli el a böngésző az alagutat, miközben az eszközök nem.

Két csomagútvonal, egy házirend

Az első sor az, amit a legtöbb split-tunneling útmutató leír. A második egy útválasztó-konfiguráció, amely véletlenül ugyanazon a gépen él. Ezek egyetlen mentális modellbe olvasztása a hiba; kernelt osztanak meg, házirendet nem. Rajzolja fel mindkét útvonalat bármely szabály szerkesztése előtt, és a tervezés többi része abból következik, melyik útvonal hiányzik.

A táblázat azt is megmagyarázza, miért mehet át egy gép az egyik teszten és bukhat meg a másikon. A munkaállomás böngészője a helyi útvonalat bizonyítja; az Ethernet-portba dugott laptop a továbbítási útvonalat bizonyítja. Minden változtatást mindkettővel ellenőrizzen, különben a második tesztelés nélkül marad, akárhányszor frissül a böngésző.

Mit osztályoz valójában egy alkalmazáskivétel

Az alkalmazásonkénti kivétel általában úgy működik, hogy megjelöli egy folyamat vagy egy felhasználó csomagjait, majd a megjelölt forgalmat az alagúton kívülre irányítja. Ez helyi kimeneti konstrukció. Egy downstream eszköz csomagjának nincs helyi folyamata, ezért soha nem illeszkedik a szelektorra, bármi is a szelektor.

Bármi is a szelektor, a két lista nem ugyanaz a lista, és éppen ez a lényeg. A Mullvad Linux-útmutatója olyan jelöléseket ír le, amelyeket a tűzfala és az útválasztási házirendje fogyaszt, és a példái a helyi kimenetre irányulnak; ezek nem egy downstream útválasztó támogatott leírásai. Másolásuk egy olyan gépet eredményez, amely azt hiszi, hogy van kivétele, miközben mindent az alagútba továbbít.

Írja meg a tranzitszerződést

Nevezze meg együtt a downstream forrás-előtagot és a belépő interfészt, majd korlátozza ezt az előtagot a belépésnél. A korlátozás nélkül bármely eszköz, amely eléri a portot, kivett címre tarthat igényt, és a megkerülésen keresztül távozhat. Kezelje két kérdésként: használhatják-e ezek a gazdagépek egyáltalán ezt a feltöltő kapcsolatot, és elérhetik-e a munkaállomást vagy az alagút privát tartományait? Ezek további engedélyek, nem a kapcsolatválasztás mellékhatásai.

Engedélyezze a továbbítást, majd szűrje. A Linux-átjárónak engedélyezett továbbításra, a szándékolt forgalmat mindkét irányban engedélyező szabályokra, valamint vagy felfelé irányuló visszaútvonalra vagy szándékosan szűkített forrásfordításra van szüksége. A NAT önmagában nem választja ki a feltöltő kapcsolatot, és nem enged át egy szűrőn; csak e döntések után ír át egy címet.

A tranzit osztályozásának a továbbítási útvonal döntése előtt kell megtörténnie, azaz a prerouting szakaszban, nem az outputban. A döntés után elhelyezett szabály még módosíthatja a csomagot, de nem változtathatja meg, hova már elküldték.

A jelölések az őket birtokló alkalmazáshoz tartoznak

A jelölésértékek, a táblázatszámok és a láncprioritások a VPN-alkalmazás házirendjének részei, nem örök állandók. Egy tartós hálózat, amely egy másik program által újragenerált táblába való szabálybeszúrástól függ, a következő frissítéskor eltörik, általában újracsatlakozás közben, nem kényelmes időpontban.

Egy második alap-lánc accept verdikttel való hozzáadása nem feltétlenül írja felül egy későbbi lánc dropját. Az alap-láncoknak horgaik és prioritásaik vannak, és a sorrendben az első verdikt nyer; az accept az egyik láncban nem törli azt a dropot, amelyet egy másik lánc előbb elér. Nézze a teljes szabálykészletet és az útválasztási házirend sorrendjét, ne az egyetlen számlálót, amely nőtt. A számláló bizonyítja, hogy egy szabály lefutott, soha nem azt, hogy az ő verdiktje volt az alkalmazott.

Integráljon, vagy helyezze át az alhálózatot

A két terv abban különbözik, ki birtokolja a megkerülést. Az integrált terv egy gépet és egy házirendet tart meg, annak árán, hogy függ a VPN-alkalmazás tábláinak életciklusától és egy jelöléskészlettől, amelyet a dokumentációja megváltoztathat. A downstream hálózat dedikált útválasztója teljesen megszünteti ezt a függőséget: az alhálózatnak saját feltöltő kapcsolata van, a munkaállomás pedig továbbító szerep nélküli kliens marad.

A másodikat válassza, ha a downstream hálózatnak VPN-frissítéseken keresztül is működnie kell, vagy ha senki nem tudja az integrált házirendet minden kiadás után tesztelni. Az elsőt csak akkor válassza, ha az integráció dokumentált, és valaki felel érte.

Ellenőrizze a határt négy állapotban: csatlakozva, újracsatlakozva, szándékosan blokkolva és leállítva. Mindegyikben ellenőrizze a névfeloldást és mindkét címcsaládot, mert a DNS-t szivárgó megkerülés nem az a kivétel, amelyet tervezett. A tesztnek a pontos határt kell bizonyítania, nem csak azt, hogy egy oldal betöltődött.