Niðstreymisundirnet á móti skjáborðs-VPN: útilokið gegnumflæði, ekki forritin

Ein vél, tvö störf, einn eldveggur: Wi-Fi uppstreymistenging, lítið Ethernet-undirnet bak við hana og skjáborðs-VPN-biðlari sem gerir ráð fyrir að allt sem fer út úr vélinni sé staðbundið. Forrit sem ræst eru staðbundið fara út um staðbundnu úttaksleiðina. Tækin bak við vinnustöðina koma inn á Ethernet-tengið og þurfa framsendingarákvörðun. Undanþága sem skrifuð er fyrir fyrstu leiðina sér aldrei aðra, og þess vegna fer vafri fram hjá göngunni á meðan tækin gera það ekki.

Tvær pakkaleiðir, ein stefna

Fyrsta röðin er það sem flestar split-tunneling leiðbeiningar lýsa. Önnur er beinisstilling sem lendir fyrir tilviljun á sömu vél. Að bræða þær í eitt huglægt líkan er mistakið; þær deila kjarna en ekki stefnu. Teiknaðu báðar leiðir áður en þú breytir einhverri reglu, og restin af hönnuninni fylgir því hver leiðin vantar.

Taflan útskýrir líka hvers vegna ein vél getur staðist eitt próf og fallið á öðru. Vafri á vinnustöðinni sannar staðbundnu leiðina; fartölva tengd Ethernet-tenginu sannar framsendingarleiðina. Staðfestu hverja breytingu með báðum, annars verður hin óprófuð sama hversu oft vafrinn er endurhlaðinn.

Hvað undanþága forrits flokkar í raun

Undanþága per forrit virkar venjulega þannig að pakkar frá ferli eða notanda eru merktir og merktur umferð er beint út fyrir gönguna. Það er bygging staðbundins úttaks. Pakki frá niðstreymistæki hefur ekkert staðbundið ferli, svo hann passar aldrei við valinn, hvað sem valinn er.

Hvað sem valinn er, listarnir tveir eru ekki sami listinn, og það er allt málið. Mullvad leiðarvísir fyrir Linux lýsir merkjum sem eldveggur þess og beinistefna eyða, og dæmin þess miða á staðbundið úttak; þau eru ekki studd lýsing á niðstreymisbeini. Að afrita þau gefur vél sem heldur að hún hafi undanþágu á meðan hún sendir allt inn í gönguna.

Skrifaðu gegnumflæðissamninginn

Nefndu niðstreymisupprunaforskeytið og inngönguviðmótið saman, takmarkaðu svo það forskyrti við inngönguna. Án takmörkunar getur hvert tæki sem nær tenginu krafist undanskilins vistfangs og farið út um framhjáleiðina. Meðhöndlaðu það sem tvær spurningar: mega þessir hýslar nota þessa uppstreymistengingu yfirleitt, og mega þeir ná vinnustöðinni eða einkasviðum göngunnar? Það eru viðbótarheimildir, ekki aukaverkanir af valinu á tengingunni.

Leyfðu framsendingu og siaðu hana svo. Linux-gáttin þarf virka framsendingu, reglur sem leyfa fyrirhugaða umferð í báðar áttir og annaðhvort endurkomuleið uppstreymis eða viljandi afmarkaða upprunauppfærslu. NAT eitt og sér velur ekki tenginguna og veitir ekki gegnumferð um síu; það endurskrifar aðeins vistfang eftir þessar ákvarðanir.

Flokkun fyrir gegnumflæði verður að eiga sér stað fyrir framsendingarleiðarákvörðunina, sem þýðir prerouting-stigið en ekki output. Regla sem sett er eftir ákvörðunina getur enn breytt pakkanum, en getur ekki breytt því hvert pakkinn hefur þegar verið sendur.

Merki tilheyra forritinu sem á þau

Merktagildi, töflunúmer og keðjuforgangar eru hluti af stefnu VPN-forritsins, ekki eilífir fastar. Varanlegt net sem byggir á að setja reglu inn í töflu sem annað forrit endurskapar mun brotna við næstu uppfærslu, venjulega við endurtengingu en ekki á hentugum tíma.

Að bæta við annarri grunnkeðju með accept-úrskurði haggar ekki endilega drop síðari keðju. Grunnkeðjur hafa króka og forganga, og fyrsti úrskurðurinn í röðinni vinnur; accept í einni keðju ógildir ekki drop sem önnur keðja nær fyrst. Horfðu á heildarreglusafnið og röð beinistefnunnar, ekki eina teljarann sem hækkaði. Teljari sannar að regla hafi keyrt, aldrei að úrskurður hennar hafi verið sá sem beitt var.

Samþættu, eða færðu undirnetið

Hönnuðirnir tveir eru ólíkir að því hver á framhjáleiðina. Samþætt hönnun heldur einni vél og einni stefnu, á kostnað þess að vera háð lífsferli taflna VPN-forritsins og mengi merkja sem skjöl þess geta breytt. Sérstakur beinir fyrir niðstreymisnetið fjarlægir þá háð alveg: undirnetið hefur sína eigin uppstreymistengingu og vinnustöðin er áfram biðlari án framsendingarhlutverks.

Veldu seinni þegar niðstreymisnetið verður að halda áfram að virka í gegnum VPN-uppfærslur, eða þegar enginn getur prófað samþættu stefnuna eftir hverja útgáfu. Veldu fyrri aðeins þegar samþættingin er skjalfest og einhver á hana.

Staðfestu mörkin í fjórum stöðum: tengt, endurtengist, viljandi lokað og stöðvað. Athugaðu nafnaupplausn og báðar vistfangafjölskyldur í hverjum þeirra, því framhjáleið sem lekur DNS er ekki sú undanþága sem þú hannaðir. Prófið á að sanna nákvæm mörkin, ekki bara að ein síða hafi hlaðist.