VPN-ის წესები როუტერში: შეუსაბამეთ წყარო და დანიშნულება
როუტერში VPN წესს ორი ბოლო აქვს: მოწყობილობა, რომელიც ტრაფიკს აგზავნის, და დანიშნულება, რომელმაც გვირაბი უნდა გამოიყენოს. ჯერ გადაკვეთა და სარეზერვო ქცევა გადაწყვიტეთ.
როუტერების შესყიდვის გვერდები VPN მარშრუტიზაციას ერთ მოსანიშნ უჯრად აჩვენებენ, და ეს ფრაზა სამ განსხვავებულ კითხვას მალავს. ემთხვევა თუ არა წესი მოწყობილობას, რომელიც ტრაფიკს აგზავნის, სერვერს, რომელიც მას იღებს, თუ ორივეს? რა ხდება ტრაფიკთან, რომელიც არც ერთს არ ემთხვევა? და როცა ორი წესი ერთმანეთს ემთხვევა, რომელი იმარჯვებს? პასუხის წყარო-დანიშნულების წყვილად ჩაწერა ბუნდოვან ფუნქციათა სიას შემოწმებად დიზაინად აქცევს.
ფუნქციის სახელი ორ ბოლოს მალავს
მედიადამკვრივებელი, რომელმაც გვირაბი უნდა გამოიყენოს, წყაროს დამთხვევაა. კერძო ოფისის პრეფიქსი, რომელიც გვირაბით უნდა იყოს ხელმისაწვდომი, დანიშნულების დამთხვევაა. სამუშაო სადგური, რომელმაც გვირაბი მხოლოდ ერთი სერვისისთვის უნდა გამოიყენოს, ორივეა, და ეს გადაკვეთა ის შემთხვევა, რომელსაც მომხმარებლის პროგრამული უზრუნველყოფის უმეტესობა ცუდად ამუშავებს-ია.
პროდუქტების შედარებამდე მოთხოვნა წყვილად ჩაწერეთ. სწორედ ეს წყვილი შემოწმდება მოგვიანებით.
პროდუქტი, რომელიც მოწყობილობათა სიას ან გლობალურ დანიშნულებათა სიას გვთავაზობს, შეიძლება ვერ გამოხატავდეს «მხოლოდ ეს მოწყობილობა, მხოლოდ ეს დანიშნულებები». სხვაობა კოსმეტიკური არ არის: გლობალური დანიშნულების წესი ყველა მოწყობილობის ტრაფიკს ამ საიტისკენ გვირაბით აგზავნის, ხოლო მოწყობილობის წესი ამ მოწყობილობის მთელ ტრაფიკს აგზავნის. არც ერთი არ არის მოთხოვნა. სანამ ეკრანს დაეყრდნობით, ეს შემთხვევა ორი მოწყობილობით შეამოწმეთ.
წესი გადაკვეთად ააგეთ
ცხრილი დიზაინს პატიოსნად ინახავს. სცენარი მარცხნივ მოათავსეთ, შემდეგ ცალ-ცალკე დაასახელეთ გამგზავნის დამთხვევა და სამიზნის დამთხვევა:
| Scenario | Sender match | Target match | Rule shape |
|---|---|---|---|
| Media player uses the tunnel | Player address | Any internet destination except the LAN | Source only |
| Office prefix reachable | Authorized LAN devices | 10.40.0.0/16 | Target only |
| One app on one laptop | Laptop address | The service address set | Source and target |
| Guest network never tunnels | Guest subnet | Any | Deny, evaluated first |
მესამე სტრიქონი საინტერესოა, რადგან ორივე ნახევარი ერთდროულად სჭირდება. თუ პროგრამული უზრუნველყოფა მხოლოდ ერთ ღერძს გამოხატავს, მოთხოვნა ორ წესად უნდა გაიყოს ან იმ მოწყობილობაზე გადავიდეს, რომელსაც ეს შეუძლია.
წყაროს იდენტურობა სტაბილურად შეინარჩუნეთ. DHCP რეზერვაცია, გამოყოფილი სეგმენტი ან მოწყობილობის იდენტურობის მექანიზმი ყველა მუშაობს, მაგრამ მისამართი, რომელიც იჯარის ამოწურვის შემდეგ იცვლება, არ მუშაობს. ჩართეთ IPv6, რადგან ერთი IPv4 მისამართი მოწყობილობის მთელ ტრაფიკს არ იდენტიფიცირებს.
პრიორიტეტი წყვეტს გადაფარვას
წესების გადაფარვა ნორმალურია. ფართო მოწყობილობის წესი და ვიწრო დანიშნულების წესი შეიძლება ერთ ნაკადს აღწერდეს, და დოკუმენტირებული პრიორიტეტის რიგი წყვეტს, რომელი იმარჯვებს. მიმზიდველი პარამეტრების ეკრანი ამ რიგს არ გითხრით.
წაიკითხეთ სახელმძღვანელოში რიგის და დაუმთხვევობის შემთხვევის შესახებ, შემდეგ ორივე შეამოწმეთ თქვენთვის დასაკვირვებელი ტრაფიკით:
ip rule show
ip route get 203.0.113.10თუ დოკუმენტაცია რიგს არ მიუთითებს, ჩათვალეთ, რომ უფრო ვიწრო წესმა შეიძლება ვერ გაიმარჯვოს, და შესაბამისად დააპროექტეთ. ორი წესი, რომლებიც ვერ დაუპირისპირდებიან, უფრო ადვილად საყრდენია, ვიდრე ერთი ჭკვიანური წესი დაუდოკუმენტირებული უპირატესობით.
სახელებს განახლების პოლიტიკა სჭირდება
დომენად დაწერილი დანიშნულება ტექნიკური მომსახურების პრობლემას ამატებს. როუტერმა ის უნდა გადაჭრას, რუკა განაახლოს, მრავალი მისამართი და ქვედომენი მართოს, და გაუმკლავდეს აპლიკაციების DNS-ს, რომელიც მოსალოდნელ გადამწყვეტს გვერდს უვლის.
ერთი ძიების შედეგის IP წესში კოპირება კადრია, არა დომენური პოლიტიკა.
გადაწყვიტეთ, რამდენად ძველი შეიძლება იყოს პასუხი სანამ წესი მცდარი გახდება, და რას აკეთებს როუტერი, როცა გადაწყვეტა ვერ ხერხდება. ბოლო ცნობილი მისამართის შემნახველი წესი შეიძლება სერვისის მიგრაციას გადაურჩეს; ჩანაწერის მყრობი წესი შეიძლება ჩუმად შეაჩეროს გვირაბიზაცია. ორივე ქცევა მისაღებია, თუ ის წესის გვერდით არის ჩაწერილი.
განსაზღვრეთ მიუწვდომელი მდგომარეობა
მარშრუტის უპირატესობა არ აიძულებს მხოლოდ VPN ტრაფიკს. როცა გვირაბი გამორთულია, როუტერს შეუძლია ნაკადი დაბლოკოს, პირდაპირ გაგზავნოს ან სხვა გვირაბი გამოიყენოს, და თითოეულ არჩევანს განსხვავებული წარუმატებლობის ნიშანი აქვს.
გადაწყვიტეთ, რომელი სჭირდება მოთხოვნას, შემდეგ გადაამოწმეთ გვირაბის შეჩერებით და ნაკადზე დაკვირვებით:
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10როუტერიდან წარმოშობილი ტრაფიკი ცალკე არეა. DNS გადაგზავნა, განახლებების შემოწმება და მონიტორინგი შეიძლება ახალი ნაკადები თავად როუტერიდან დაიწყოს, ნაცვლად იმისა, რომ მოწყობილობის წყაროს დამთხვევა მემკვიდრეობით მიიღოს. ეს ნაკადები ცალსახად გაითვალისწინეთ, თორემ ისინი ჟურნალებში აუხსნელ გაჟონვად გამოჩნდება.