Պահեք մասնավոր երթուղիները և հանեք վերահասցեավորումը. OpenVPN բաժանված թունել
Միայն մասնավոր ցանցերի համար թունելը պահանջում է երկու կանոն՝ մասնավոր նախածանցներն անցնում են դրա միջով, սովորական զննումը պահպանում է իր տեղական ուղին։ Կանխադրված երթուղին ջնջելը քաղաքականություն չէ։
Թունելը բարձրանում է, հավելվածը բեռնվում է, և հետո նոութբուքի մնացած ամեն ինչ սկսում է տարօրինակ վարվել։ Սա մի տող ջնջելով իրականացված՝ միայն մասնավոր քաղաքականության սովորական ձևն է։ Հրված կանխադրված երթուղին հեռացնելը իսկապես փոխում է, թե ուր է գնում երթևեկությունը, բայց այն չի ասում, թե ուր պետք է գնա երթևեկությունը դրա փոխարեն, և բոլորովին չի շոշափում անվանումների լուծումը։ Քաղաքականությանը պետք է երկու դրական կես՝ նախքան այն փորձարկելը։
Վերահասցեավորումը ջնջելը փոփոխության միայն կեսն է
Ամբողջական թունելի վերահասցեավորումը և միայն մասնավոր քաղաքականությունը տարբերվում են նրանով, թե ինչ են պնդում աշխարհի մասին։ Վերահասցեավորումը հավակնում է յուրաքանչյուր նպատակակետի, մինչդեռ մասնավոր քաղաքականությունը հավակնում է ցանկի և մնացածը թողնում է հանգիստ։ Ցանկը չգրելով պահանջը ջնջելը ստեղծում է հաճախորդ, որը տեղական ցանցից դուրս ոչ մի տեղ չի հասնում, ինչը նման է երթուղավորման ձախողման, այլ ոչ թե քաղաքականության բացի։ Գրեք ցանկը նախքան պահանջը հեռացնելը, և այդ երկու քայլերի հերթականությունն այլևս նշանակություն չի ունենա։
Երկու կեսերն էլ պահանջներ են, ոչ թե կանխադրվածներ։ Մասնավոր նախածանցները պետք է մտնեն թունել, իսկ սովորական նպատակակետերը պետք է պահպանեն այն ուղին, որ ունեին մինչև միացումը։
Եթե կազմակերպությունը պարտադրում է ամբողջական թունել, սրանից ոչինչ չի կիրառվում։ Միայն մասնավոր ձևավորումը պատկանում է այն տեղակայումներին, որտեղ բաժանված երթուղավորումը հաստատված է։
pull-filter-ը համընկնում է, ոչ թե անջատիչ
pull-filter հրահանգը հեռացնում է հրված ընտրանքները, որոնց անունները համընկնում են նախածանցի հետ, և դա այն ամենն է, ինչ անում է։ Վերահասցեավորումն անտեսելը թողնում է մյուս բոլոր հրված ընտրանքները տեղում, ինչը սովորաբար այն է, ինչ ուզում եք՝ երթուղիները, DNS-ի կարգավորումները և երթուղու դարպասի արժեքը դեռ հասնում են։ Այն նաև չի կարող հեռացնել տեղական պրոֆիլում գրված հրահանգը, որովհետև զտումը վերաբերում է նրան, ինչ սերվերը հրում է։
Դիմակայեք գայթակղությանը անտեսել route-ով սկսվող յուրաքանչյուր ընտրանք։ Այդ օրինաչափությունը նաև դեն է նետում միացմանը անհրաժեշտ մասնավոր երթուղիները, և այն կարող է կորցնել դարպասի տեղեկությունը, որից կախված է թունելը։
route-nopull-ը ավելի լայն որոշում է, քան թվում է։ Այն խանգարում է հաճախորդին ընդունել հրված երթուղիներն ու DHCP-ի նման ընտրանքները որպես խումբ, ինչը տարբերվում է մեկ ընտրանք զտելուց։
Երթուղիների ցանկը գրեք հավելվածից դեպի դուրս
Սկսեք նրանից, ինչ օգտատերն իրականում բացում է, ապա ավելացրեք աջակցող մասերը։ 10.60.20.15 հասցեում գտնվող հավելվածը ենթադրում է իր ենթացանցը՝ 10.60.0.0/16, իսկ մասնավոր անունը ենթադրում է լուծիչը, որը պատասխանում է դրան։ Ուստի մեկ հավելված խնդրած օգտատիրոջը պետք է երկու նպատակակետ և մեկ DNS որոշում։ Այդ ցանկից այն կողմ ամեն ինչ կառուցվածքով դուրս է շրջանակից, և դա է պահում քաղաքականությունը վերանայելի։
Համագործակցող սերվերի վրա դրանք դառնում են երկու հրված երթուղի, և դրանցից ոչ մեկը վերահասցեավորում չէ։ Պահեք թունելի տոպոլոգիան և երթուղու դարպասի արժեքները, որոնք տրամադրում է գործող ծառայությունը։
Երբ այս քաղաքականությունը պետք է միայն որոշ օգտատերերի, կիրառեք այն յուրաքանչյուր հաճախորդի կամ խմբի համար։ Բոլորի երթուղավորումը փոխելը մեկ թիմի պահանջը շտկելու համար այն ճանապարհն է, որով բաժանված թունելը դառնում է ընդհատում։
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
Թող DNS-ը գնա նույն ուղով
Դեպի լուծիչ տանող երթուղին լուծիչի քաղաքականություն չէ։ systemd-resolved հաճախորդի վրա իմաստային արդյունքը մասնավոր անվանատարածքի երթուղավորման տիրույթն է, որը ցույց է տալիս ներքին լուծիչին, և դա է ստիպում, որ միայն այդ անունները օգտագործեն այն։ Windows-ի հաճախորդին փոխարեն պետք է իր սեփական անվանատարածքի քաղաքականության մեխանիզմը։ Պրոֆիլում DNS սերվերի տողը ինքնին ոչ մեկը չի տեղադրում։
Ստուգեք, թե ինչ է ընտրել օպերացիոն համակարգը, և ոչ թե ինչ է պահանջել պրոֆիլը։ Linux-ում resolvectl status-ը ցույց է տալիս տիրույթը և սերվերը յուրաքանչյուր կապի համար, Windows-ում անվանատարածքի քաղաքականության աղյուսակը համարժեք ապացույցն է։
Լուծիչը հասանելի պահեք թունելի միջով, այլապես քաղաքականությունը ցույց է տալիս հասցեի, որը հնարավոր չէ հարցնել։ Լուծիչի հասցե, որին թունելը չի հասնում, աշխատող քաղաքականությունը դարձնում է ժամանակի սպառում։
Ստուգեք երկու կեսերը վերամիացման ժամանակ
Փոփոխությունից հետո նորից միացրեք հաճախորդը և ստուգեք արդյունավետ երթուղին դեպի մասնավոր հասցե և դեպի հանրային հասցե։ Այնուհետև լուծեք մասնավոր անուն և հանրային անուն և հաստատեք, որ յուրաքանչյուրը օգտագործել է նախատեսված լուծիչը։ Հանրային կայքի բեռնումը ապացուցում է միայն երկրորդ կեսը, և հենց այդ կեսն է, որ սովորաբար աշխատում է պատահաբար։
Գրառեք պատրաստի քաղաքականությունը մեկ նախադասությամբ, այս նախածանցներն ու անունները օգտագործում են այս միացումը, մնացած ամեն ինչ հետևում է տեղական ուղուն։ Այնուհետև պահեք այն պրոֆիլում, փոխարենը՝ ամեն մուտքից հետո ադապտերի կարգավորումները վերանորոգելու։