Հեռախոսի VPN դեպի տուն՝ դարձրեք firewall-ը ձեր ինտերնետ ելքը

Հեռախոսը տան թունելին միացնելը և LAN ֆայլային համօգտագործումը բացելը ապացուցում է, որ թունելն աշխատում է։ Այն չի ապացուցում, որ հեռախոսի ինտերնետ հարցումները դուրս են գալիս տնով։ Այս երկու արդյունքների միջև տարբերությունը փոխանցման քաղաքականություն գումարած երթուղի է, ոչ թե ևս մեկ նշատուփ հեռախոսում։ Դա նաև այն տարբերությունն է, որը մարդկանց մեծ մասը ենթադրում է, թե արդեն կարգավորել է։

Երեք որոշում ստեղծում են ելքի ուղին՝ ինչ է հեռախոսն ուղարկում թունել, որտեղ է տան դարպասը փոխանցում այն, և ինչ է տեղի ունենում, երբ թունելը չկա։ Յուրաքանչյուրն ունի ձախողման ռեժիմ, որը հեռախոսի էկրանից նման է մյուսներին։

Երկու թռիչք, երկու քաղաքականություն

Արտաքին կապը ավարտվում է տան VPN լսողի մոտ։ Ներքին փաթեթը առանձին օբյեկտ է, որը պետք է ինչ-որ տեղ փոխանցվի, և փոխանցումը տարբեր firewall որոշում է, քան թունելն ընդունելը սկզբից։

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Տիպիկ տնային երթուղիչում դրանք ապրում են տարբեր կանոնների հավաքածուներում։ Թունելն ընդունելը մուտքային քաղաքականություն է VPN ինտերֆեյսի վրա․ հեռախոսի թրաֆիկը ինտերնետ ուղարկելը փոխանցման քաղաքականություն է գումարած այն աղբյուրի թարգմանությունը, որն անհրաժեշտ է uplink-ին։ Երթուղիչը, որն ընդունում է թունելը և ոչինչ չի փոխանցում, ստեղծում է հեռախոս, որը ցույց է տալիս միացված և ոչ մի էջ չի բեռնում։

Եթե VPN ծառայությունը աշխատում է տան ներսում առանձին մեքենայի վրա, ավելացրեք թռիչք։ Այժմ երթուղիչը տեսնում է այդ մեքենայից եկող թրաֆիկը, ուստի նրա կանոնները կիրառվում են սերվերի հասցեի, ոչ թե հեռախոսի թունելի հասցեի վրա, և աղբյուրի թարգմանությունը կարող է ամեն հեռախոս ներկայացնել որպես մեկ հոսթ։

Լսողը ֆիլտրը չէ

Որոշեք, թե որտեղ է տեղի ունենում պարտադրումը, քանի դեռ ձեզ անհրաժեշտ տեղեկությունը դեռ գոյություն ունի։ Երթուղիչի վրա հեռախոսի թունելի հասցեն տեսանելի է և կարելի է ուղղակիորեն համապատասխանեցնել։ Երկրորդ թարգմանության հետևում այն գնացել է, և հեռախոսի հասցեի համար գրված կանոնները լուռ ոչնչի չեն համապատասխանում։

Սա սովորական պատճառն է, թե ինչու քաղաքականությունը աշխատում է նոթբուքի, բայց ոչ հեռախոսի համար։ Նոթբուքը միանում է երթուղիչին ուղղակիորեն, հեռախոսը միանում է սերվերին, որը փոխանցում է երթուղիչով, և միայն առաջին ուղին է պահպանում այն հասցեն, որը սպասում է կանոնը։ Կանոնը սխալ չէ․ այն համապատասխանում է արժեքի, որն այդ կետում արդեն գոյություն չունի։

Գրեք ուղին աղբյուրի հասցեով այնպես, ինչպես այն երևում է յուրաքանչյուր պարտադրման կետում։ Այդ մեկ դիագրամը լուծում է այս դեպքերի մեծ մասը նախքան որևէ կանոն խմբագրելը։

Ինչ պետք է իրականում ուղարկի հեռախոսը

Հեռախոսը, որը ստանում է միայն երթուղի դեպի տան ենթացանց, թունել է ուղարկում միայն այդ ենթացանցի թրաֆիկը։ Մնացած ամեն ինչ դուրս է գալիս բջջային ցանցով, այդ պատճառով ֆայլային համօգտագործումն աշխատում է, և ինտերնետ հարցումները երբեք չեն հասնում տուն։

Ամբողջական թունելի ծածկույթը հաճախորդի կողմի երթուղավորման որոշում է, և այն պետք է սահմանվի հարթակի աջակցած մեխանիզմով, ոչ թե ենթադրվի տեղադրվող պրոֆիլից։ Սահմանվելուց հետո VPN սերվերի վերադարձի ուղին պետք է մնա թունելից դուրս, այլապես հաճախորդը չի կարող պահպանել իր սեփական տրանսպորտը։

DNS-ն արժանի է իր որոշմանը, որովհետև հենց այդ մասն է ամենայն հավանականությամբ շեղվում մնացած թրաֆիկից։ Պրոֆիլում լուծիչի հասցեն առաջարկ է, որը հաճախորդները տարբեր կերպ են վարվում, և սեփական գաղտնագրված լուծիչ ունեցող հավելվածը կարող է գնալ բոլորովին առանձին ուղի։ Եթե տան քաղաքականությունը կախված է հարցումների որոշակի լուծիչ հասնելուց, ապա կիրառեք այն այնտեղ, որտեղ թրաֆիկն իրականում անցնում է, կամ ընդունեք, որ որոշ հարցումներ դա չեն անի։ Հարցումը, որը շրջանցում է ձեր լուծիչը, երբեք չի հասնում դրա համար գրված կանոնին։

IPv6-ը պատկանում է նույն պարբերությանը, ինչ DNS-ը, ոչ թե հավելվածին։ Ամբողջական IPv4 թունելը ոչինչ չի ասում AAAA թրաֆիկի մասին, և կրկնակի կույտով բջջային ցանցում գտնվող հեռախոսը հաճույքով կօգտագործի բնիկ ուղին դրա համար։ Ընտրեք փոխադրում կամ արգելափակում հստակորեն։

Ինչ կարող է և ինչ չի կարող տեսնել firewall-ը

Դարպասը կարող է գործել այն ամենի վրա, ինչ բացահայտում է իր պարտադրման կետը՝ հասցեներ, պորտեր, արձանագրություն, ինտերֆեյս և կապի մետատվյալներ։ Փոխանցված HTTPS հարցումը չի հանձնում էջի մարմինը կամ գաղտնաբառը միայն այն պատճառով, որ անցնում է տան թունելով։

Այդ սահմանը արժե նշել, որովհետև «անցկացրեք այն firewall-ով» արտահայտությունը ենթադրում է ավելի շատ ստուգում, քան անում է տնային երթուղիչը։ Նպատակակետի կանոնը, DNS քաղաքականությունը և հավելվածային մակարդակի պրոքսին երեք տարբեր վերահսկիչներ են՝ երեք տարբեր տեղակայման ծախսերով։

Չենթադրեք, որ տան LAN հաճախորդների համար կարգավորված հատկությունը վերաբերում է VPN ինտերֆեյսին։ Գոտու անդամակցությունը կազմաձևման ընտրություն է, և ոչ ճիշտ գոտում գտնվող VPN ինտերֆեյսը չի ժառանգում ոչ մի կանոն այն կանոններից, որոնք դուք փորձարկել եք բազմոցից։

Որոշեք անջատված վիճակը

Երբ թունելը հասանելի չէ, հեռախոսը կամ վերադառնում է բջջային ցանց, կամ հրաժարվում է ուղարկել թրաֆիկը։ Երկուսն էլ ողջամիտ են, և դրանցից միայն մեկն է համապատասխանում այն բանին, ինչ մարդկանց մեծ մասը կարծում է, թե կարգավորել է։

Վերադարձը հարմար է և ըստ սահմանման արտահոսում է․ այն պահը, երբ թունելն ընկնում է, այն պահն է, երբ հարցումները դուրս են գալիս օպերատորի ուղիով։ Արգելափակումն ավելի ուժեղ է և հեռախոսին կախված է դարձնում տան հասանելիությունից, ինչը ճանապարհորդի համար իրական հասանելիության ծախս է։ Վարքագծերից ոչ մեկը սխալ չէ․ երկուսն էլ ապրանք են, և դուք ընտրում եք նրանց միջև՝ ասեք դա, թե ոչ։

Փորձարկեք ընտրությունը, փոխարենը ենթադրելու։ Կանգնեցրեք տան ծառայությունը, ապա փորձեք մեկ հարցում հեռախոսի զննարկիչից և մեկը ֆոնային աշխատող հավելվածից։ Ավելի ուշ նորից միանալը չի չեղարկում արդեն դուրս եկած հարցումները։

Ավարտեք հեռախոսից երկու վերահսկվող ստուգումով՝ մեկ թույլատրված գործողություն, որը պետք է անցնի տնով, և մեկ մերժում, որը տան քաղաքականությունը պետք է պարտադրի։ Հաստատեք, որ դարպասը գրանցել է ձեր սպասած հոսքը, ձեր սպասած հասցեների ընտանիքում, նորից միանալուց հետո։ «Միացված» ցույց տվող հեռախոսը այդ ստուգման սկիզբն է, երբեք վերջը։