Төмендегі қосалқы желі және жұмыс үстелінің VPN: транзитті шығарып таста, қолданбаларды емес
Қолданба бойынша айналып өту тек жергілікті шығысты жіктейді. Жұмыс станциясының артындағы құрылғыларға өз кіру, жіберу және қайтару жолының саясаты қажет.
Бір машина, екі жұмыс, бір firewall: Wi-Fi жоғары арна, оның артында шағын Ethernet қосалқы желісі және машинадан шыққанның бәрін жергілікті деп есептейтін жұмыс үстелінің VPN клиенті. Жергілікті іске қосылған қолданбалар жергілікті шығыс жолымен шығады. Жұмыс станциясының артындағы құрылғылар Ethernet портына келеді және жіберу шешімін қажет етеді. Бірінші жол үшін жазылған ерекшелік екіншісін ешқашан көрмейді, сондықтан браузер туннельді айналып өтеді, ал құрылғылар өтпейді.
Екі пакет жолы, бір саясат
| Origin | Path | Decision owner |
|---|---|---|
| Application on the workstation | OUTPUT then egress | The VPN app's routing policy |
| Device behind the workstation | PREROUTING then FORWARD | The workstation's own forwarding policy |
Бірінші жол — көптеген split-tunneling нұсқаулықтары сипаттайтын нәрсе. Екіншісі — сол машинада кездейсоқ орналасқан маршрутизатор конфигурациясы. Оларды бір ой моделіне біріктіру — қате; олар ядроны бөліседі, саясатты емес. Кез келген ережені өңдеу алдында екі жолды да сызыңыз, ал қалған дизайн қай жолдың жетіспейтінінен шығады.
Кесте сонымен қатар бір машинаның бір тесттен өтіп, екіншісінде неге сүрінетінін түсіндіреді. Жұмыс станциясындағы браузер жергілікті жолды дәлелдейді; Ethernet портына қосылған ноутбук жіберу жолын дәлелдейді. Әр өзгерісті екеуімен де тексеріңіз, әйтпесе браузер қанша жаңартылса да екіншісі тексерілмеген күйде қалады.
Қолданба ерекшелігі шын мәнінде нені жіктейді
Қолданба бойынша ерекшелік әдетте былай жұмыс істейді: процестің немесе пайдаланушының пакеттерін белгілейді, содан кейін белгіленген трафикті туннельден тыс маршруттайды. Бұл жергілікті шығыс құрылымы. Төменгі құрылғының пакетінде жергілікті процесс жоқ, сондықтан ол селекторға ешқашан сәйкес келмейді, селектор қандай болса да.
Селектор қандай болса да, екі тізім бір тізім емес, және бүкіл мәселе осында. Mullvad-тың Linux нұсқаулығы оның firewall-ы мен маршруттау саясаты тұтынатын белгілерді сипаттайды, ал мысалдары жергілікті шығысқа бағытталған; олар төменгі маршрутизатордың қолдау көрсетілген сипаттамасы емес. Оларды көшіру барлығын туннельге жібере отырып, ерекшелігі бар деп сенетін машина береді.
Транзит шартын жазыңыз
Төменгі дереккөз префиксін және кіру интерфейсін бірге атаңыз, содан кейін сол префиксті кіруде шектеңіз. Шектеусіз портқа жететін кез келген құрылғы ерекшеленген мекенжайды талап етіп, айналып өту арқылы шыға алады. Оны екі сұрақ ретінде қарастырыңыз: бұл хосттар бұл жоғары арнаны мүлдем пайдалана ала ма, және олар жұмыс станциясына немесе туннельдің жеке диапазондарына жете ала ма? Бұл қосымша рұқсаттар, арна таңдауының жанама әсері емес.
Жіберуге рұқсат етіңіз, содан кейін оны сүзіңіз. Linux шлюзіне қосылған жіберу, көзделген трафикті екі бағытта да рұқсат ететін ережелер және не жоғары қарай қайтару маршруты, не әдейі шектелген дереккөз аудармасы қажет. NAT жалғыз өзі жоғары арнаны таңдамайды және сүзгіден өтуге жол бермейді; ол мекенжайды сол шешімдерден кейін ғана қайта жазады.
Транзит үшін жіктеу жіберу маршрутының шешімінен бұрын болуы керек, яғни output емес, prerouting кезеңінде. Шешімнен кейін қойылған ереже пакетті әлі де өзгерте алады, бірақ пакет қайда жіберілгенін өзгерте алмайды.
Белгілер оларға ие қолданбаға тиесілі
Белгі мәндері, кесте нөмірлері және тізбек басымдықтары VPN қолданбасының саясатының бөлігі, мәңгілік тұрақтылар емес. Басқа бағдарлама қайта жасайтын кестеге ереже кіргізуге тәуелді желі келесі жаңартуда сынады, әдетте қайта қосылу кезінде, қолайлы уақытта емес.
accept үкімі бар екінші негізгі тізбекті қосу кейінгі тізбектің drop үкімін міндетті түрде жоймайды. Негізгі тізбектердің ілмектері мен басымдықтары бар, және рет бойынша бірінші үкім жеңеді; бір тізбектегі accept басқа тізбек бірінші жететін drop үкімін жоймайды. Өскен бір санауышты емес, толық ережелер жиынтығын және маршруттау саясатының ретін қараңыз. Санауыш ереженің орындалғанын дәлелдейді, оның үкімі қолданылғанын ешқашан дәлелдемейді.
Біріктіріңіз немесе қосалқы желіні жылжытыңыз
Екі дизайн айналып өтуге кім ие екендігімен ерекшеленеді. Біріктірілген дизайн бір машинаны және бір саясатты сақтайды, бірақ VPN қолданбасының кесте өмірлік цикліне және оның құжаттамасы өзгертуі мүмкін белгілер жиынтығына тәуелділік құнымен. Төменгі желі үшін арнайы маршрутизатор бұл тәуелділікті толығымен жояды: қосалқы желінің өз жоғары арнасы бар, ал жұмыс станциясы жіберу рөлі жоқ клиент болып қалады.
Екіншісін таңдаңыз, егер төменгі желі VPN жаңартулары кезінде жұмысын жалғастыруы керек болса, немесе әр шығарылымнан кейін біріктірілген саясатты ешкім тексере алмаса. Біріншісін тек біріктіру құжатталған және оған біреу жауапты болғанда таңдаңыз.
Шекараны төрт күйде тексеріңіз: қосылған, қайта қосылып жатқан, әдейі бұғатталған және тоқтатылған. Әрқайсысында атау шешімін және екі мекенжай тобын тексеріңіз, өйткені DNS-ті ағызатын айналып өту — сіз жобалаған ерекшелік емес. Тест нақты шекараны дәлелдеуі керек, бір беттің жүктелгенін ғана емес.