VPN-szabályok a routeren: párosítsa a forrást és a célt

A router-vásárlási oldalak a VPN-útválasztást egyetlen jelölőnégyzetként mutatják, és ez a megfogalmazás három különböző kérdést rejt. A szabály ahhoz az eszközhöz illik, amely a forgalmat küldi, ahhoz a szerverhez, amely fogadja, vagy mindkettőhöz? Mi történik azzal a forgalommal, amely egyikhez sem illik? És amikor két szabály átfed, melyik nyer? Ha a választ forrás-cél párként írja le, egy homályos funkciólista tesztelhető tervvé válik.

A funkció neve két végét rejti

Az a médialejátszó, amelynek az alagutat kell használnia, forrás-egyezés. Az a privát irodai előtag, amelynek az alagúton át elérhetőnek kell lennie, cél-egyezés. Az a munkaállomás, amelynek az alagutat csak egy szolgáltatáshoz kell használnia, mindkettő, és ez a metszet az az eset, amelyet a legtöbb fogyasztói firmware rosszul kezel.

Írja le a követelményt párként, mielőtt összehasonlítja a termékeket. Ezt a párt fogja később tesztelni.

Egy eszközlistát vagy globális céllistát kínáló termék talán nem tudja kifejezni, hogy „csak ez az eszköz, csak ezek a célok”. A különbség nem kozmetikai: a globális célszabály minden eszköz forgalmát az alagúton keresztül küldi arra az oldalra, az eszközszabály pedig az adott eszköz teljes forgalmát küldi. Egyik sem a követelmény. Tesztelje ezt az esetet két eszközzel, mielőtt megbízik a képernyőben.

Építse fel a szabályt metszetként

A táblázat őszintén tartja a tervet. Tegye a forgatókönyvet balra, majd nevezze meg külön a küldő-egyezést és a cél-egyezést:

A harmadik sor az érdekes, mert egyszerre kell neki mindkét fél. Ha a firmware csak egy tengelyt tud kifejezni, a követelményt két szabályra kell bontani, vagy olyan eszközre kell vinni, amely képes rá.

Tartsa stabilnak a forrás identitását. A DHCP-foglalás, egy dedikált szegmens vagy egy eszközidentitás-mechanizmus mind működik, de a cím, amely a bérlet lejárta után megváltozik, nem. Vegye bele az IPv6-ot, mert egy IPv4-cím nem azonosítja egy eszköz teljes forgalmát.

Az átfedést a prioritás dönti el

A szabályok átfedése normális. Egy széles eszközszabály és egy szűk célszabály ugyanazt a folyamot írhatja le, és a dokumentált prioritási sorrend dönti el, melyik nyer. Egy vonzó beállítási képernyő nem árulja el ezt a sorrendet.

Olvassa el a kézikönyvben a sorrendet és az egyezés nélküli esetet, majd tesztelje mindkettőt olyan forgalommal, amelyet meg tud figyelni:

ip rule show
ip route get 203.0.113.10

Ha a dokumentáció nem adja meg a sorrendet, feltételezze, hogy a szűkebb szabály esetleg nem nyer, és ennek megfelelően tervezzen. Két szabály, amely nem kerülhet ellentmondásba, könnyebben támogatható, mint egy okos szabály dokumentálatlan elsőbbséggel.

A neveknek frissítési szabály kell

A tartományként leírt cél karbantartási problémát ad hozzá. A routernek fel kell oldania, frissítenie kell a leképezést, több címet és aldomaint kell kezelnie, és meg kell birkóznia azokkal az alkalmazás-DNS-ekkel, amelyek megkerülik a várt feloldót.

Egyetlen keresési eredmény IP-szabályba másolása pillanatkép, nem tartományi szabály.

Döntse el, mennyire lehet régi egy válasz, mielőtt a szabály hibás lesz, és mit tesz a router, ha a feloldás meghiúsul. Egy szabály, amely megtartja az utolsó ismert címet, túlélhet egy szolgáltatásáttelepítést; egy szabály, amely eldobja a bejegyzést, csendben leállíthatja az alagutazást. Mindkét viselkedés elfogadható, ha a szabály mellett le van írva.

Határozza meg az elérhetetlen állapotot

Az útvonal-preferencia nem kényszerít ki csak VPN-es forgalmat. Amikor az alagút le van állva, a router blokkolhatja a folyamot, közvetlenül küldheti, vagy másik alagutat használhat, és minden választásnak más a hiba-aláírása.

Döntse el, melyikre van szüksége a követelménynek, majd ellenőrizze az alagút leállításával és a folyam figyelésével:

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10

A routerből kiinduló forgalom külön hatókör. A DNS-továbbítás, a frissítési ellenőrzések és a megfigyelés új folyamokat indíthat magából a routerből, ahelyett hogy örökölné az eszköz forrás-egyezését. Számoljon ezekkel a folyamokkal kifejezetten, különben megmagyarázhatatlan szivárgásként jelennek meg a naplókban.