Heil göng eða leið að endapunkti: að halda VPN-þjóninum aðgengilegum

Bættu við sjálfgefinni leið í gegnum göngin og pakkarnir í göngunum sjálfum munu fylgja henni. Taflan inniheldur þá reglu sem sigrar sjálfa sig. Dulkóðuð tengingin við þjóninn reynir að ferðast inni í tengingunni sem hún er að reyna að koma á.

Tveir vélbúnaðir koma í veg fyrir þessa lykkju. Annar er sýnilegur í leiðatöflunni, hinn lifir inni í forritinu.

Innri og ytri umferð eru ólíkar ákvarðanir

Forritapakki fer inn í sýnda viðmótið og er hjúpaður. Niðurstaðan er nýr pakki sem er stýrður á opinbert vistfang þjónsins. Sá pakki þarf leið á líkamlega netinu, því ekkert af honum má fara inn í göngin.

Bæði eru leiðarákvarðanir, og aðeins fyrri tilheyrir göngunum. Þegar biðlarinn setur upp sjálfgefna leið sem nær einnig til þjónsins, er ytri pakkinn einnig gripinn.

Einkennin eru tafarlaus og algjör. Handshakið klárast og svo streymir ekkert, eða tengingin dettur á þeirri stundu sem leiðin er sett upp. Í báðum tilvikum getur keepalive ekki lengur farið út.

Valkostur eitt: hýsilleið að endapunktinum

Beina nálgunin bætir leið við vistfang þjónsins í gegnum upprunalega gáttina. Það tekur eina línu. Hún er sýnileg hverjum sem les töfluna. Einnig er auðvelt að útskýra hana í breytingaskrá.

Veikleiki hennar kemur fram þegar undirliggjandi slóð breytist. Geymda leiðin nefnir gátt og viðmót úr gamla netinu. Eftir Wi-Fi-skiptingu er sú gátt kannski ekki til, og leiðin situr eftir, lítur rétt út og gerir ekkert.

# before the tunnel: which path reaches the endpoint?
ip route get 198.51.100.7

# pin it through the current gateway
ip route add 198.51.100.7/32 via 192.168.1.1 dev wlan0

# after the tunnel is up, confirm the pin survived
ip route get 198.51.100.7

Hýsilnafn gerir þetta erfiðara. Ef endapunkturinn er nafn sem leysist í nokkur vistföng, verður undantekningin að ná yfir vistfangið sem raunverulega er notað. Síðari uppfletting getur skilað einhverju sem leiðin náði aldrei yfir.

Valkostur tvö: vernda socketinn

Hin nálgunin snertir leiðatöfluna aldrei. Biðlarinn merkir eða verndar socketinn sem ber göngin, svo stýrikerfið sendir umferð þess sockets út fyrir göngin samkvæmt stefnu. Android afhjúpar vélbúnaðinn beint fyrir VPN-forritum. Skjáborðsbiðlarar útfæra jafngildi með eldveggsmerkjum eða köllum um bindingu við tæki.

Kosturinn er að undantekningin fylgir tengingunni frekar en geymdri gátt. Netbreyting endurskrifar undirliggjandi slóð, og verndaði socketinn færist með henni því hann var aldrei festur við vistfang. Leiðataflan helst hrein.

Kostnaðurinn er sýnileiki. Ekkert í leiðatöflunni sýnir undantekninguna, svo rýnir sem leitar að hýsilleið finnur ekkert og gæti ályktað að hönnunin sé óörugg. Verndin lifir í kóða biðlarans og í stefnureglunum sem sá kóði setur upp.

Að velja á milli þeirra

Veldu vélbúnaðinn á socketstigi þegar biðlarinn styður hann, því hann lifir af þær netbreytingar sem brjóta festa leið. Veldu hýsilleiðina þegar undantekningin verður að vera sýnileg öðrum verkfærum, eða þegar biðlarinn býður ekkert betra.

Hvorug nálgunin fjarlægir þörfina fyrir það að vistfang þjónsins sé yfirhöfuð aðgengilegt. Einkagátt hefur opinbert hlustunarvistfang, og það vistfang er það sem verður að vera utan göngunnar. Innri netin að baki verða aðeins aðgengileg eftir að göngin eru til.

Hvað sem þú velur, haltu því hjá íhlutnum sem á göngin. Villt hýsilleið sem bætt er við í höndunum virkar þar til næsta net, og þá verður hún ráðgáta morgundagsins.