Тек қосу немесе тек алып тастау сплит-туннелі: қайсысы әдепкі болуы керек?
Әдепкі мәнді тізімді құрар алдында таңдаңыз: тек өзіңіз атағанды туннельге жіберіңіз немесе бәрін жіберіп, ерекшеліктерді алып тастаңыз. Сосын ешкім тізімге қоспаған қолданбаны сынап көріңіз.
VPN клиентінің маршруттау бөлімін ашсаңыз, жиі бірдей жазуға ие екі пішіні басқа басқару элементін көресіз. Бірі туннельге кіруі тиіс межелерді тізімдеуді талап етеді, қалғаны жергілікті желіні пайдалана береді. Екіншісі барлығы туннельде деп болжайды да, нені кері шығару керегін сұрайды. Екеуі де бірінші сынақта жұмыс істейтін туннель береді және екеуі де тізімге жол қосу арқылы қолданылады, сондықтан біреу жаңа нәрсе орнатқанша айырмашылық көрінбейді.
Бұл мүмкіндік емес, әдепкі мән. Тізімде жиырма жазба болмай тұрып шешіңіз.
Әдепкі мәнді брошюрадан емес, клиенттен оқыңыз
WireGuard-та бұл шешім ерекше көрнекі, өйткені AllowedIPs тек қосу тізімі, одан басқа ештеңе емес. 0.0.0.0/0, ::/0 бар теңдес барлық қозғалысты туннельге жібереді, ал 10.20.0.0/16 бар теңдес тек сол желіні жібереді. Алып тастау синтаксисі жоқ, сондықтан бір ішкі желіні сыртта қалдырғыңыз келсе, қалған префикстердің барлығын санамалау керек немесе интерфейстен тыс саясаттық маршруттау қосу керек.
OpenVPN сол жерге қарсы жақтан жетеді: redirect-gateway def1 толық туннель орнатады, ал нақты route директивалары белгілі префикстерді қосады немесе оларды қайта жазады. Коммерциялық клиенттер әдетте екеуін де белгі құсбелгісі мен межелер кестесінің артына жасырады, сондықтан жазуға сенбей тұрып, кесте қайсысын шынымен өңдейтінін оқыңыз.
Сұрақ құсбелгінің қалай аталатынында емес. Сұрақ екі тізімнің ешқайсысында кездеспейтін межесі бар пакетке не болады дегенде. Мұны жазбаша жауап беріңіз, қалған конфигурация содан шығады. Бұл сұрақты өткізіп жіберсеңіз, түсініксіз алғашқы ақауды сол күні клиентке ең жақын адам шешеді.
Ешкім тізімге қоспаған қолданбаны бақылаңыз
Тек қосу схемасында бұл қолданба жергілікті желімен және жергілікті DNS-пен тікелей шығады. Тек алып тастау схемасында ол туннельден өтеді, сервер рұқсат еткен шекте, және жаңа SaaS құралының бірінші күні жұмыс істеуі мен VPN оны бұзды деген билеттің арасындағы айырмашылық көбіне осы жерде шығады.
Екі әдепкі мәннің ешқайсысы өздігінен қауіпсіз емес. Тек қосу нұсқасы туннель таситынды тарылтып, жергілікті желіні ең аз қарсылық жолына айналдырады, ал тек алып тастау нұсқасы туннельді қалыпты жол деп есептеп, ерекшеліктерді ерекшелік ретінде қарастырады, бұл көптеген корпоративтік саясат шын мәнінде көздейтін нәрсеге жақын.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Платформа қандай нысандарды тізімдейтініне назар аударыңыз
Android-тың VpnService.Builder рұқсат етілген қолданбалар тізімі мен тыйым салынған қолданбалар тізімін екі бөлек модель ретінде ұсынады, ал қолданба бойынша ережелер меже бойынша емес, пакет бойынша таңдайды. Осындай тізімге қойылған браузер өзі ашатын барлық межені алып жүреді, бұл маршрут кестесінен өзгеше дәлдік және жұмыс істеп тұрған қолданбаның ішіндегі бір бұзылған сайтты түзей алмайды.
Десктоп клиенттері әдетте екі түрді бір интерфейсте араластырады, сондықтан қосып жатқан жолыңыз пакет пе, хост аты ма әлде префикс пе екенін тексеріңіз. Олар әртүрлі сәтсіздікке ұшырайды және әртүрлі жерде шешіледі. Хост атының жолы әдетте маршрут пен атқа айналады, ал пакет жолы клиент ішіндегі саясат шешіміне айналады. Қайсысын қосқаныңызды жазып қойыңыз, өйткені кейін жөндейтін адам екіншісін болжайды.
Сәтсіздік күйін сынаңыз, тек жақсы жолды емес
Туннельден алып тасталған қолданба автоматты түрде таза тікелей қатынас ала бермейді. Егер клиент туннельсіз блоктау ережесін де қолданса, алып тасталған трафик мүлде тасталуы мүмкін, бұл маршруттау шешімі емес, бұзылған қолданба болып көрінеді. Бұл жағдайды пайдаланушының шағымынан білмей, әдейі сынап көріңіз.
Содан кейін DNS пен IPv6-ны бөлек тармақ ретінде тексеріңіз. Тек IPv4 таситын туннель v6 қабілеті бар қолданбаға айналып өту жолын қалдырады, ал split DNS мүлде туннельден тыс трафик үшін ішкі аттар шешіле ме, соны анықтайды. Тізімдегі қолданбаны, тізімде жоқ қолданбаны, ат іздеуді және бір қайта қосылуды іске қосып, нәтижелерді конфигурациямен бірге сақтаңыз.
Әдепкі мәнді келесі адам табатын жерге жазыңыз
Таңдалған әдепкі мәнді, ерекшеліктерді және олардың иесін клиент профилімен бір жерде жазып қойыңыз, өйткені келесі әкімші бұл түсіндіруді оқымай-ақ жазба қосады. Күнін және әр ерекшеліктің себебін белгілеңіз, сонда бері кейін түзетілген сайт үшін ескірген алып тастау сенімді түрде жойылады. Себепсіз тізім шексіз өседі.
Біреу бір бұзылған межені хабарласа, негізді емес, ерекшелікті өзгертіңіз. Бір сайтты түзету үшін әдепкі мәнді аударып тастау барлық тізімде жоқ қолданбаны туннельдің екінші жағына үнсіз көшіреді.