ტელეფონის VPN სახლში: გახადეთ firewall თქვენი ინტერნეტის გასასვლელი

ტელეფონის სახლის გვირაბზე მიერთება და LAN ფაილების გაზიარების გახსნა ამტკიცებს, რომ გვირაბი მუშაობს. ეს არ ამტკიცებს, რომ ტელეფონის ინტერნეტ მოთხოვნები სახლიდან გადის. ამ ორ შედეგს შორის განსხვავებაა გადაგზავნის პოლიტიკა პლუს მარშრუტი, და არა კიდევ ერთი მონიშვნის უჯრა ტელეფონში. ეს ასევე ის განსხვავებაა, რომელიც უმეტესობა ფიქრობს, რომ უკვე დააყენა.

სამი გადაწყვეტილება ქმნის გასასვლელ გზას: რას აგზავნის ტელეფონი გვირაბში, სად გადასცემს მას სახლის კარიბჭე და რა ხდება, როცა გვირაბი არ არის. თითოეულს აქვს წარუმატებლობის რეჟიმი, რომელიც ტელეფონის ეკრანიდან სხვებს ჰგავს.

ორი ნახტომი, ორი პოლიტიკა

გარე კავშირი მთავრდება სახლის VPN მსმენელთან. შიდა პაკეტი ცალკე ობიექტია, რომელიც სადღაც უნდა გადაეგზავნოს, და გადაგზავნა სხვა firewall გადაწყვეტილებაა, ვიდრე გვირაბის მიღება თავიდანვე.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

ტიპურ სახლის როუტერზე ესინი სხვადასხვა წესების კრებულში ცხოვრობენ. გვირაბის მიღება შემავალი პოლიტიკაა VPN ინტერფეისზე; ტელეფონის ტრაფიკის ინტერნეტში გაშვება გადაგზავნის პოლიტიკაა პლუს ის წყაროს თარგმანი, რომელიც uplink-ს სჭირდება. როუტერი, რომელიც გვირაბს იღებს და არაფერს გადასცემს, ქმნის ტელეფონს, რომელიც დაკავშირებულს აჩვენებს და არცერთ გვერდს არ ტვირთავს.

თუ VPN სერვისი სახლის შიგნით ცალკე მანქანაზე მუშაობს, დაამატეთ ნახტომი. ახლა როუტერი ხედავს ამ მანქანიდან მომავალ ტრაფიკს, ამიტომ მისი წესები სერვერის მისამართზე ვრცელდება და არა ტელეფონის გვირაბის მისამართზე, და წყაროს თარგმანს შეუძლია ყველა ტელეფონი ერთ ჰოსტად აჩვენოს.

მსმენელი ფილტრი არ არის

გადაწყვიტეთ, სად ხდება აღსრულება, სანამ საჭირო ინფორმაცია ჯერ კიდევ არსებობს. როუტერზე ტელეფონის გვირაბის მისამართი ხილულია და შეიძლება პირდაპირ შედარება. მეორე თარგმანის მიღმა ის გაქრა, და ტელეფონის მისამართისთვის დაწერილი წესები ჩუმად არაფერს ემთხვევა.

ეს არის ჩვეულებრივი მიზეზი, რატომ მუშაობს პოლიტიკა ლეპტოპზე და არა ტელეფონზე. ლეპტოპი პირდაპირ უკავშირდება როუტერს, ტელეფონი უკავშირდება სერვერს, რომელიც როუტერის გავლით გადასცემს, და მხოლოდ პირველი გზა ინახავს იმ მისამართს, რომელსაც წესი ელოდება. წესი არ არის მცდარი; ის ემთხვევა მნიშვნელობას, რომელიც ამ წერტილში აღარ არსებობს.

ჩაწერეთ გზა წყაროს მისამართით, როგორც ის თითოეულ აღსრულების წერტილში ჩანს. ეს ერთი დიაგრამა ამ შემთხვევების უმეტესობას წყვეტს ნებისმიერი წესის რედაქტირებამდე.

რა უნდა გააგზავნოს ტელეფონმა სინამდვილეში

ტელეფონი, რომელიც მხოლოდ სახლის ქვექსელის მარშრუტს იღებს, გვირაბში მხოლოდ ამ ქვექსელის ტრაფიკს აგზავნის. დანარჩენი ყველაფერი მობილური ქსელით გადის, ამიტომ ფაილების გაზიარება მუშაობს და ინტერნეტ მოთხოვნები არასოდეს აღწევს სახლამდე.

სრული გვირაბის დაფარვა კლიენტის მხარეს მარშრუტიზაციის გადაწყვეტილებაა და უნდა დაყენდეს პლატფორმის მხარდაჭერილი მექანიზმით, და არა ვივარაუდოთ დაყენებული პროფილიდან. დაყენების შემდეგ, VPN სერვერისკენ უკანა გზა გვირაბის გარეთ უნდა დარჩეს, თორემ კლიენტი საკუთარ ტრანსპორტს ვერ შეინარჩუნებს.

DNS იმსახურებს საკუთარ გადაწყვეტილებას, რადგან სწორედ ეს ნაწილი გადახრის ყველაზე სავარაუდოდ დანარჩენი ტრაფიკიდან. პროფილში რეზოლვერის მისამართი წინადადებაა, რომელსაც კლიენტები სხვადასხვაგვარად ეპყრობიან, და საკუთარი დაშიფრული რეზოლვერის მქონე აპლიკაციას შეუძლია სრულიად ცალკე გზა აიღოს. თუ სახლის პოლიტიკა დამოკიდებულია იმაზე, რომ მოთხოვნები კონკრეტულ რეზოლვერს მიაღწევს, განახორციელეთ ის იქ, სადაც ტრაფიკი ნამდვილად გადის, ან მიიღეთ, რომ ზოგი მოთხოვნა ამას არ გააკეთებს. მოთხოვნა, რომელიც თქვენს რეზოლვერს გვერდს უვლის, არასოდეს აღწევს მისთვის დაწერილ წესამდე.

IPv6 იმავე აბზაცშია, როგორც DNS, და არა დანართში. სრული IPv4 გვირაბი AAAA ტრაფიკზე არაფერს ამბობს, და ორმაგი სტეკის მობილურ ქსელში მყოფი ტელეფონი სიამოვნებით გამოიყენებს მშობლიურ გზას. აირჩიეთ გადატანა ან დაბლოკვა ცხადად.

რა შეუძლია და რა არ შეუძლია firewall-ს დაინახოს

კარიბჭეს შეუძლია იმოქმედოს იმაზე, რასაც მისი აღსრულების წერტილი ამხელს: მისამართები, პორტები, პროტოკოლი, ინტერფეისი და კავშირის მეტამონაცემები. გადაგზავნილი HTTPS მოთხოვნა არ გადასცემს გვერდის ტანს ან პაროლს მხოლოდ იმიტომ, რომ სახლის გვირაბს კვეთს.

ეს ზღვარი ღირს აღნიშვნად, რადგან ფრაზა «გაატარე ის firewall-ში» უფრო მეტ შემოწმებას გულისხმობს, ვიდრე სახლის როუტერი აკეთებს. დანიშნულების წესი, DNS პოლიტიკა და აპლიკაციის დონის პროქსი სამი განსხვავებული კონტროლია სამი განსხვავებული განლაგების ხარჯით.

ნუ ჩათვლით, რომ სახლის LAN კლიენტებისთვის კონფიგურირებული ფუნქცია VPN ინტერფეისზეც ვრცელდება. ზონის წევრობა კონფიგურაციის არჩევანია, და VPN ინტერფეისი, რომელიც სწორ ზონაში არ არის, არც ერთ წესს არ მემკვიდრეობით იღებს იმ წესებიდან, რომლებიც დივანიდან შეამოწმეთ.

გადაწყვიტეთ გათიშული მდგომარეობა

როცა გვირაბი მიუწვდომელია, ტელეფონი ან მობილურ ქსელზე ბრუნდება, ან ტრაფიკის გაგზავნაზე უარს ამბობს. ორივე გონივრულია, და მხოლოდ ერთი ემთხვევა იმას, რაც უმეტესობას სჯერა, რომ დააყენა.

დაბრუნება მოსახერხებელია და განმარტებით ჟონავს: ის წამი, როცა გვირაბი ვარდება, არის წამი, როცა მოთხოვნები ოპერატორის გზით გადის. დაბლოკვა უფრო ძლიერია და ტელეფონს სახლის მიწვდომადობაზე დამოკიდებულს ხდის, რაც მოგზაურისთვის რეალური ხელმისაწვდომობის ხარჯია. არც ერთი ქცევა არ არის ხარვეზი; ორივე პროდუქტია, და თქვენ მათ შორის ირჩევთ, იტყვით ამას თუ არა.

გამოსცადეთ არჩევანი, ვიდრე ჩათვალოთ. შეაჩერეთ სახლის სერვისი, შემდეგ სცადეთ ერთი მოთხოვნა ტელეფონის ბრაუზერიდან და ერთი ფონურად მომუშავე აპლიკაციიდან. მოგვიანებით ხელახლა დაკავშირება უკვე გასულ მოთხოვნებს არ აუქმებს.

დაასრულეთ ტელეფონიდანვე ორი კონტროლირებადი შემოწმებით: ერთი დაშვებული ოპერაცია, რომელიც სახლში უნდა გაიაროს, და ერთი უარი, რომელიც სახლის პოლიტიკამ უნდა განახორციელოს. დაადასტურეთ, რომ კარიბჭემ ჩაწერა თქვენი მოსალოდნელი დინება, თქვენს მოსალოდნელ მისამართების ოჯახში, ხელახლა დაკავშირების შემდეგ. «დაკავშირებულის» მქონე ტელეფონი ამ შემოწმების დასაწყისია, არასოდეს დასასრული.