VPN ponsel ke rumah: jadikan firewall pintu keluar internet Anda

Menghubungkan ponsel ke tunnel rumah dan membuka berbagi berkas LAN membuktikan bahwa tunnel bekerja. Itu tidak membuktikan bahwa permintaan internet ponsel keluar melalui rumah. Perbedaan antara kedua hasil itu adalah kebijakan penerusan ditambah rute, bukan kotak centang lain di ponsel. Itu juga perbedaan yang dianggap sebagian besar orang sudah mereka konfigurasi.

Tiga keputusan menghasilkan jalur keluar: apa yang dikirim ponsel ke tunnel, ke mana gateway rumah meneruskannya, dan apa yang terjadi saat tunnel tidak ada. Masing-masing punya mode kegagalan yang dari layar ponsel tampak seperti yang lain.

Dua lompatan, dua kebijakan

Koneksi luar berakhir di pendengar VPN rumah. Paket dalam adalah objek terpisah yang harus diteruskan ke suatu tempat, dan penerusan adalah keputusan firewall yang berbeda dari menerima tunnel sejak awal.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Pada router rumah biasa, keduanya hidup dalam kumpulan aturan yang berbeda. Menerima tunnel adalah kebijakan masukan pada antarmuka VPN; mengirim lalu lintas ponsel ke internet adalah kebijakan penerusan ditambah terjemahan sumber yang dibutuhkan uplink. Router yang menerima tunnel dan tidak meneruskan apa pun menghasilkan ponsel yang menampilkan terhubung dan tidak memuat halaman.

Jika layanan VPN berjalan di mesin terpisah di dalam rumah, tambahkan satu lompatan. Router kini melihat lalu lintas yang datang dari mesin itu, sehingga aturannya berlaku untuk alamat server, bukan alamat tunnel ponsel, dan terjemahan sumber dapat membuat setiap ponsel tampak seperti satu host.

Pendengar bukan penyaring

Putuskan di mana penegakan terjadi selama informasi yang Anda butuhkan masih ada. Di router, alamat tunnel ponsel terlihat dan dapat dicocokkan langsung. Di balik terjemahan kedua, alamat itu hilang, dan aturan yang ditulis untuk alamat ponsel diam-diam tidak cocok dengan apa pun.

Inilah alasan umum sebuah kebijakan bekerja untuk laptop dan tidak untuk ponsel. Laptop terhubung langsung ke router, ponsel terhubung ke server yang meneruskan melalui router, dan hanya jalur pertama yang mempertahankan alamat yang diharapkan aturan. Aturannya tidak salah; ia mencocokkan nilai yang tidak lagi ada pada titik itu.

Tuliskan jalurnya dengan alamat sumber sebagaimana terlihat di setiap titik penegakan. Diagram tunggal itu menyelesaikan sebagian besar kasus ini sebelum aturan apa pun diedit.

Apa yang sebenarnya harus dikirim ponsel

Ponsel yang hanya menerima rute ke subnet rumah hanya mengirim lalu lintas subnet itu ke tunnel. Semua yang lain keluar melalui jaringan seluler, itulah sebabnya berbagi berkas bekerja dan permintaan internet tidak pernah mencapai rumah.

Cakupan tunnel penuh adalah keputusan perutean di sisi klien, dan harus ditetapkan dengan mekanisme yang didukung platform, bukan diasumsikan dari profil yang dipasang. Setelah ditetapkan, rute kembali ke server VPN itu sendiri harus tetap di luar tunnel, atau klien tidak dapat mempertahankan transportnya sendiri.

DNS layak mendapat keputusan sendiri, karena bagian itulah yang paling mungkin menyimpang dari lalu lintas lainnya. Alamat resolver dalam profil adalah saran yang ditangani klien secara berbeda, dan aplikasi dengan resolver terenkripsi sendiri dapat mengambil jalur yang sepenuhnya terpisah. Jika kebijakan rumah bergantung pada kueri yang mencapai resolver tertentu, tegakkan di tempat lalu lintas benar-benar lewat, atau terima bahwa sebagian kueri tidak akan melakukannya. Kueri yang melewati resolver Anda tidak pernah mencapai aturan yang ditulis untuknya.

IPv6 berada di paragraf yang sama dengan DNS, bukan di lampiran. Tunnel penuh IPv4 tidak mengatakan apa pun tentang lalu lintas AAAA, dan ponsel di jaringan seluler dual-stack akan dengan senang hati memakai jalur asli untuk itu. Pilih pengangkutan atau pemblokiran secara eksplisit.

Apa yang bisa dan tidak bisa dilihat firewall

Gateway dapat bertindak atas apa yang diungkapkan titik penegakannya: alamat, port, protokol, antarmuka, dan metadata koneksi. Permintaan HTTPS yang diteruskan tidak menyerahkan isi halaman atau kata sandi hanya karena melewati tunnel rumah.

Batas itu layak disebutkan karena frasa «teruskan melalui firewall» menyiratkan lebih banyak pemeriksaan daripada yang dilakukan router rumah. Aturan tujuan, kebijakan DNS, dan proksi lapisan aplikasi adalah tiga kontrol berbeda dengan tiga biaya penerapan berbeda.

Jangan menganggap fitur yang dikonfigurasi untuk klien LAN rumah berlaku untuk antarmuka VPN. Keanggotaan zona adalah pilihan konfigurasi, dan antarmuka VPN yang tidak berada di zona yang benar tidak mewarisi satu pun aturan yang Anda uji dari sofa.

Putuskan keadaan terputus

Saat tunnel tidak tersedia, ponsel entah kembali ke jaringan seluler atau menolak mengirim lalu lintas. Keduanya masuk akal, dan hanya satu yang cocok dengan apa yang dipercaya sebagian besar orang telah mereka konfigurasi.

Kembali ke jaringan seluler itu praktis dan bocor menurut definisi: saat tunnel jatuh adalah saat permintaan keluar melalui jalur operator. Pemblokiran lebih kuat dan membuat ponsel bergantung pada rumah yang dapat dijangkau, yang merupakan biaya ketersediaan nyata bagi orang yang bepergian. Tidak ada perilaku yang merupakan bug; keduanya produk, dan Anda memilih di antaranya entah Anda mengatakannya atau tidak.

Uji pilihannya alih-alih menganggapnya. Hentikan layanan rumah, lalu coba satu permintaan dari peramban ponsel dan satu dari aplikasi yang berjalan di latar belakang. Menyambung ulang nanti tidak membatalkan permintaan yang sudah keluar.

Akhiri dengan dua pemeriksaan terkendali dari ponsel itu sendiri: satu operasi yang diizinkan yang seharusnya melewati rumah, dan satu penolakan yang seharusnya ditegakkan kebijakan rumah. Pastikan gateway mencatat aliran yang Anda harapkan, dalam keluarga alamat yang Anda harapkan, setelah menyambung ulang. Ponsel yang menampilkan Terhubung adalah awal verifikasi itu, bukan pernah akhirnya.