Telefon-VPN haza: tegye a tűzfalat az internetes kijáratává

Egy telefont az otthoni alagúthoz csatlakoztatni és egy LAN-fájlmegosztást megnyitni bizonyítja, hogy az alagút működik. Nem bizonyítja, hogy a telefon internetes kérései a házon keresztül lépnek ki. A két eredmény közötti különbség egy továbbítási szabály plusz egy útvonal, nem egy újabb jelölőnégyzet a telefonon. Ez az a különbség is, amelyet a legtöbb ember feltételez, hogy már beállított.

Három döntés hozza létre a kijárati útvonalat: mit küld a telefon az alagútba, hová továbbítja az otthoni átjáró, és mi történik, ha az alagút nincs ott. Mindegyiknek van egy hibamódja, amely a telefon képernyőjéről a többiekhez hasonlónak látszik.

Két ugrás, két szabály

A külső kapcsolat az otthoni VPN-hallgatónál végződik. A belső csomag külön objektum, amelyet valahová továbbítani kell, és a továbbítás más tűzfaldöntés, mint az alagút elfogadása eleve.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Egy tipikus otthoni routeren ezek külön szabálykészletekben élnek. Az alagút elfogadása bemeneti szabály a VPN-interfészen; a telefon forgalmának az internetre küldése továbbítási szabály plusz az a forrásfordítás, amelyre az uplinknek szüksége van. Az a router, amely elfogadja az alagutat és semmit nem továbbít, olyan telefont ad, amely csatlakozottan jelenik meg és egyetlen oldalt sem tölt be.

Ha a VPN-szolgáltatás a házon belül külön gépen fut, adjon hozzá egy ugrást. A router most az abból a gépből érkező forgalmat látja, ezért a szabályai a kiszolgáló címére vonatkoznak, nem a telefon alagútcímére, és a forrásfordítás minden telefont egyetlen hosztként jeleníthet meg.

A hallgató nem a szűrő

Döntse el, hol történik a kényszerítés, amíg a szükséges információ még létezik. A routeren a telefon alagútcíme látható, és közvetlenül illeszthető. Egy második fordítás mögött eltűnik, és a telefon címére írt szabályok csendben semmihez sem illeszkednek.

Ez a szokásos oka annak, hogy egy szabály a laptopnál működik, a telefonnál pedig nem. A laptop közvetlenül a routerhez csatlakozik, a telefon egy kiszolgálóhoz, amely a routeren keresztül továbbít, és csak az első útvonal őrzi meg a címet, amelyet a szabály vár. A szabály nem hibás; olyan értékhez illeszkedik, amely ezen a ponton már nem létezik.

Írja le az útvonalat a forráscímmel úgy, ahogy az egyes kényszerítési pontokon megjelenik. Ez az egyetlen ábra a legtöbb ilyen esetet megoldja, mielőtt bármelyik szabályt szerkesztenék.

Mit kell a telefonnak valójában küldenie

Az a telefon, amely csak az otthoni alhálózat felé kap útvonalat, csak annak az alhálózatnak a forgalmát küldi az alagútba. Minden más a mobilhálózaton keresztül lép ki, ezért működik a fájlmegosztás, és ezért nem érnek el soha a kérések a házig.

A teljes alagútlefedettség kliensoldali útválasztási döntés, és a platform által támogatott mechanizmussal kell beállítani, nem a telepített profilból feltételezni. Beállítás után a VPN-kiszolgálóhoz visszavezető útvonalnak az alagúton kívül kell maradnia, különben a kliens nem tudja fenntartani a saját átvitelét.

A DNS saját döntést érdemel, mert ez az a rész, amely a legvalószínűbben eltér a többi forgalomtól. A profilban szereplő feloldócím egy javaslat, amelyet a kliensek eltérően kezelnek, és egy saját titkosított feloldóval rendelkező alkalmazás teljesen külön útvonalat vehet. Ha az otthoni szabály attól függ, hogy a lekérdezések elérnek egy adott feloldót, ott érvényesítse, ahol a forgalom valóban elhalad, vagy fogadja el, hogy bizonyos lekérdezések nem fogják elérni. Az a lekérdezés, amely megkerüli a feloldóját, soha nem ér el egy rá írt szabályt.

Az IPv6 ugyanabba a bekezdésbe tartozik, mint a DNS, nem függelékbe. Egy teljes IPv4-alagút semmit nem mond az AAAA-forgalomról, és egy kettős veremű mobilhálózaton lévő telefon szívesen használja rá a natív útvonalat. Válassza a szállítást vagy a blokkolást kifejezetten.

Mit lát és mit nem lát a tűzfal

Az átjáró arra hat, amit a kényszerítési pontja feltár: címek, portok, protokoll, interfész és a kapcsolat metaadatai. Egy továbbított HTTPS-kérés nem adja át az oldal törzsét vagy a jelszót csak azért, mert áthalad az otthoni alagúton.

Ezt a határt érdemes kimondani, mert a „vezesse át a tűzfalon” kifejezés több ellenőrzést sugall, mint amit egy otthoni router végez. Egy célcím-szabály, egy DNS-szabály és egy alkalmazásréteg-beli proxy három különböző kontroll, három különböző bevezetési költséggel.

Ne feltételezze, hogy az otthoni LAN-kliensekhez beállított funkció a VPN-interfészre is vonatkozik. A zónatagság konfigurációs választás, és az a VPN-interfész, amely nincs a megfelelő zónában, semmit nem örököl a kanapéról tesztelt szabályokból.

Döntse el a leválasztott állapotot

Amikor az alagút nem elérhető, a telefon vagy visszaesik a mobilhálózatra, vagy megtagadja a forgalom küldését. Mindkettő ésszerű, és csak az egyik felel meg annak, amit a legtöbb ember hisz, hogy beállított.

A visszaesés kényelmes és definíció szerint szivárog: abban a pillanatban, amikor az alagút elesik, a kérések elhagyják a szolgáltató útvonalát. A blokkolás erősebb, és a telefont a ház elérhetőségétől teszi függővé, ami valódi rendelkezésre állási költség az utazó számára. Egyik viselkedés sem hiba; mindkettő termék, és ön választ közöttük, akár kimondja, akár nem.

Tesztelje a választást, ahelyett hogy feltételezné. Állítsa le az otthoni szolgáltatást, majd próbáljon egy kérést a telefon böngészőjéből és egyet egy háttérben futó alkalmazásból. A későbbi újracsatlakozás nem teszi semmissé a már kiment kéréseket.

Két ellenőrzött vizsgálattal fejezze be magától a telefontól: egy engedélyezett művelet, amelynek át kell haladnia a házon, és egy elutasítás, amelyet az otthoni szabálynak érvényesítenie kell. Erősítse meg, hogy az átjáró a várt folyamot a várt címcsaládban, újracsatlakozás után naplózta. A csatlakozottat mutató telefon ennek az ellenőrzésnek a kezdete, soha nem a vége.