VPN-ի կանոններ երթուղիչում. համապատասխանեցրե՛ք աղբյուրն ու նպատակակետը
Երթուղիչում VPN կանոնն ունի երկու ծայր՝ սարքը, որն ուղարկում է տրաֆիկը, և նպատակակետը, որը պետք է օգտագործի թունելը։ Նախ որոշե՛ք հատումը և պահուստային վարքը։
Երթուղիչների գնման էջերը VPN երթուղավորումը ներկայացնում են որպես մեկ նշատուփ, և այդ արտահայտությունը թաքցնում է երեք տարբեր հարց։ Արդյո՞ք կանոնը համապատասխանում է տրաֆիկն ուղարկող սարքին, այն ընդունող սերվերին, թե՞ երկուսին էլ։ Ի՞նչ է պատահում տրաֆիկին, որը չի համապատասխանում ոչ մեկին։ Իսկ երբ երկու կանոն համընկնում են, ո՞րն է հաղթում։ Պատասխանը որպես աղբյուրի և նպատակակետի զույգ գրելը անորոշ հատկանիշների ցանկը վերածում է ստուգելի ձևավորման։
Հատկանիշի անունը թաքցնում է երկու ծայր
Այն մեդիանվագարկիչը, որը պետք է օգտագործի թունելը, աղբյուրի համապատասխանություն է։ Այն մասնավոր գրասենյակային նախածանցը, որը պետք է հասանելի լինի թունելով, նպատակակետի համապատասխանություն է։ Այն աշխատանքային կայանը, որը թունելը պետք է օգտագործի միայն մեկ ծառայության համար, երկուսն էլ է, և այդ հատումը այն դեպքը, որը սպառողական որոնվածի մեծ մասը վատ է կառավարում է։
Գրե՛ք պահանջը որպես զույգ՝ նախքան ապրանքները համեմատելը։ Այդ զույգը հենց այն է, ինչ դուք ավելի ուշ կստուգեք։
Սարքերի ցանկ կամ գլոբալ նպատակակետերի ցանկ առաջարկող ապրանքը գուցե չի կարող արտահայտել «միայն այս սարքը, միայն այս նպատակակետերը»։ Բացը կոսմետիկ չէ՝ գլոբալ նպատակակետի կանոնը բոլոր սարքերի տրաֆիկը դեպի այդ կայք ուղարկում է թունելով, իսկ սարքի կանոնը ուղարկում է այդ սարքի ողջ տրաֆիկը։ Ոչ մեկը պահանջը չէ։ Ստուգե՛ք այդ դեպքը երկու սարքով՝ նախքան էկրանին վստահելը։
Կառուցե՛ք կանոնը որպես հատում
Աղյուսակը ձևավորումը պահում է ազնիվ։ Տեղադրե՛ք սցենարը ձախում, ապա առանձին անվանե՛ք ուղարկողի համապատասխանությունը և թիրախի համապատասխանությունը:
| Scenario | Sender match | Target match | Rule shape |
|---|---|---|---|
| Media player uses the tunnel | Player address | Any internet destination except the LAN | Source only |
| Office prefix reachable | Authorized LAN devices | 10.40.0.0/16 | Target only |
| One app on one laptop | Laptop address | The service address set | Source and target |
| Guest network never tunnels | Guest subnet | Any | Deny, evaluated first |
Երրորդ տողը հետաքրքիրն է, որովհետև նրան պետք են երկու կեսերը միաժամանակ։ Եթե որոնվածը կարող է արտահայտել միայն մեկ առանցք, պահանջը պետք է բաժանել երկու կանոնի կամ տեղափոխել այնպիսի սարք, որը դա կարող է։
Պահե՛ք աղբյուրի ինքնությունը կայուն։ DHCP վերապահումը, առանձնացված սեգմենտը կամ սարքի ինքնության մեխանիզմը բոլորն աշխատում են, բայց վարձակալության ավարտից հետո փոխվող հասցեն չի աշխատում։ Ներառե՛ք IPv6-ը, որովհետև մեկ IPv4 հասցեն չի նույնականացնում սարքի ողջ տրաֆիկը։
Առաջնահերթությունը որոշում է համընկնումը
Կանոնների համընկնումը նորմալ է։ Լայն սարքի կանոնը և նեղ նպատակակետի կանոնը կարող են նկարագրել մեկ հոսք, և փաստաթղթավորված առաջնահերթության կարգը որոշում է, թե որն է հաղթում։ Գրավիչ կարգավորումների էկրանը ձեզ այդ կարգը չի ասում։
Կարդացե՛ք ձեռնարկում կարգի և առանց համապատասխանության դեպքի մասին, ապա ստուգե՛ք երկուսն էլ ձեր դիտարկելի տրաֆիկով:
ip rule show
ip route get 203.0.113.10Եթե փաստաթղթերը չեն նշում կարգը, ենթադրե՛ք, որ ավելի նեղ կանոնը գուցե չհաղթի, և ձևավորե՛ք դա հաշվի առնելով։ Երկու կանոն, որոնք չեն կարող հակասել, ավելի հեշտ է աջակցել, քան մեկ խելացի կանոն՝ չփաստաթղթավորված գերակայությամբ։
Անունները թարմացման քաղաքականություն են պահանջում
Որպես տիրույթ գրված նպատակակետը ավելացնում է սպասարկման խնդիր։ Երթուղիչը պետք է լուծի այն, թարմացնի քարտեզագրումը, զբաղվի բազմաթիվ հասցեներով և ենթատիրույթներով, և հաղթահարի հավելվածների DNS-ը, որը շրջանցում է սպասվող լուծիչը։
Մեկ որոնման արդյունքը IP կանոնի մեջ պատճենելը լուսանկար է, ոչ թե տիրույթի քաղաքականություն։
Որոշե՛ք, թե պատասխանը որքան հին կարող է լինել մինչև կանոնը սխալ դառնալը, և ինչ է անում երթուղիչը, երբ լուծումը ձախողվում է։ Վերջին հայտնի հասցեն պահող կանոնը կարող է վերապրել ծառայության տեղափոխումը․ մուտքը դեն նետող կանոնը կարող է լուռ դադարեցնել թունելավորումը։ Վարքագծերից ցանկացածը ընդունելի է, եթե այն գրված է կանոնի կողքին։
Սահմանե՛ք անհասանելի վիճակը
Երթուղու նախապատվությունը չի պարտադրում միայն VPN տրաֆիկ։ Երբ թունելը անջատված է, երթուղիչը կարող է արգելափակել հոսքը, ուղարկել այն ուղիղ կամ օգտագործել մեկ այլ թունել, և յուրաքանչյուր ընտրություն ունի ձախողման տարբեր ստորագրություն։
Որոշե՛ք, թե դրանցից որն է պահանջվում, ապա ստուգե՛ք այն՝ դադարեցնելով թունելը և դիտելով հոսքը:
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10Երթուղիչից բխող տրաֆիկը առանձին ոլորտ է։ DNS փոխանցումը, թարմացումների ստուգումները և մոնիտորինգը կարող են նոր հոսքեր սկսել հենց երթուղիչից, փոխանակ ժառանգեն սարքի աղբյուրի համապատասխանությունը։ Հաշվի առե՛ք այդ հոսքերը բացահայտ, հակառակ դեպքում դրանք կհայտնվեն որպես չբացատրված արտահոսքեր մատյաններում։