Pertahankan rute privat dan buang pengalihan: tunnel terbelah OpenVPN

Tunnel menyala, aplikasi dimuat, lalu semua hal lain di laptop mulai berperilaku aneh. Itulah bentuk biasa dari kebijakan khusus privat yang diterapkan dengan menghapus satu baris. Menghapus rute default yang didorong memang mengubah ke mana lalu lintas pergi, tetapi tidak mengatakan ke mana lalu lintas seharusnya pergi sebagai gantinya, dan sama sekali tidak menyentuh resolusi nama. Kebijakan memerlukan dua separuh yang positif sebelum dapat diuji.

Menghapus pengalihan hanyalah separuh perubahan

Pengalihan tunnel penuh dan kebijakan khusus privat berbeda dalam apa yang mereka klaim tentang dunia. Pengalihan mengklaim setiap tujuan, sedangkan kebijakan privat mengklaim sebuah daftar dan membiarkan sisanya. Menghapus klaim tanpa menulis daftar menghasilkan klien yang tidak menjangkau apa pun di luar LAN, yang terlihat seperti kegagalan perutean alih-alih celah kebijakan. Tulis daftarnya sebelum Anda menghapus klaim, dan urutan kedua langkah itu berhenti menjadi penting.

Kedua separuh adalah persyaratan, bukan default. Prefiks privat harus masuk ke tunnel, dan tujuan biasa harus mempertahankan jalur yang mereka miliki sebelum koneksi.

Jika organisasi mewajibkan tunnel penuh, tidak ada dari ini yang berlaku. Desain khusus privat termasuk untuk penerapan yang perutean terbelahnya disetujui.

pull-filter adalah pencocokan, bukan sakelar

Direktif pull-filter menghapus opsi yang didorong yang namanya cocok dengan prefiks, dan hanya itu yang dilakukannya. Mengabaikan pengalihan membiarkan setiap opsi terdorong lainnya tetap di tempatnya, yang biasanya memang yang Anda inginkan: rute, pengaturan DNS, dan nilai gateway rute tetap datang. Ia juga tidak dapat menghapus direktif yang ditulis di profil lokal, karena penyaringan berlaku pada apa yang didorong server.

Lawan godaan untuk mengabaikan setiap opsi yang dimulai dengan route. Pola itu juga membuang rute privat yang dibutuhkan koneksi, dan dapat menjatuhkan informasi gateway yang menjadi sandaran tunnel.

route-nopull adalah keputusan yang lebih luas daripada kelihatannya. Ia menghentikan klien menerima rute yang didorong dan opsi bergaya DHCP sebagai satu kelompok, yang merupakan kebijakan berbeda dari menyaring satu opsi.

Tulis daftar rute dari aplikasi ke luar

Mulailah dari apa yang benar-benar dibuka pengguna, lalu tambahkan bagian pendukungnya. Aplikasi di 10.60.20.15 menyiratkan subnetnya 10.60.0.0/16, dan nama privat menyiratkan resolver yang menjawabnya. Jadi pengguna yang meminta satu aplikasi memerlukan dua tujuan dan satu keputusan DNS. Segala sesuatu di luar daftar itu berada di luar cakupan secara konstruksi, dan itulah yang menjaga kebijakan tetap dapat ditinjau.

Pada server yang bekerja sama, itu menjadi dua rute yang didorong, dan tidak satu pun merupakan pengalihan. Pertahankan topologi tunnel dan nilai gateway rute yang disediakan layanan yang ada.

Ketika hanya sebagian pengguna memerlukan kebijakan ini, terapkan per klien atau per grup. Mengubah perutean semua orang untuk memperbaiki kebutuhan satu tim adalah cara tunnel terbelah menjadi gangguan.

Buat DNS mengikuti jalur yang sama

Rute ke resolver bukanlah kebijakan resolver. Pada klien systemd-resolved, hasil semantiknya adalah domain perutean untuk ruang nama privat yang menunjuk ke resolver internal, dan itulah yang membuat hanya nama-nama itu menggunakannya. Klien Windows memerlukan mekanisme kebijakan ruang nama sendiri sebagai gantinya. Baris server DNS di profil tidak memasang salah satu dari itu dengan sendirinya.

Periksa apa yang dipilih sistem operasi, bukan apa yang diminta profil. Di Linux, resolvectl status menampilkan domain dan server per tautan; di Windows, tabel kebijakan ruang nama adalah bukti yang setara.

Jaga resolver tetap terjangkau melalui tunnel, atau kebijakan menunjuk ke alamat yang tidak dapat ditanyakan. Alamat resolver yang tidak dapat dijangkau tunnel mengubah kebijakan yang berfungsi menjadi waktu habis.

Verifikasi kedua separuh saat menyambung ulang

Sambungkan ulang klien setelah perubahan dan periksa rute efektif ke alamat privat dan ke alamat publik. Lalu selesaikan nama privat dan nama publik dan pastikan masing-masing menggunakan resolver yang dimaksud. Memuat situs web publik hanya membuktikan separuh kedua, dan itulah separuh yang biasanya berhasil secara kebetulan.

Catat kebijakan yang sudah selesai dalam satu kalimat: prefiks dan nama ini menggunakan koneksi ini, segala sesuatu yang lain mengikuti jalur lokal. Lalu simpan di profil alih-alih memperbaiki pengaturan adaptor setelah setiap masuk.