Жеке маршруттарды сақтап, қайта бағыттауды алып тастаңыз: OpenVPN бөлінген туннелі
Тек жеке желілерге арналған туннельге екі ереже қажет: жеке префикстер одан өтеді, қарапайым шолу өзінің жергілікті жолын сақтайды. Әдепкі маршрутты жою — саясат емес.
Туннель көтеріледі, қолданба жүктеледі, содан кейін ноутбуктегі қалғанның бәрі оғаш әрекет ете бастайды. Бұл бір жолды жою арқылы жүзеге асырылған тек жеке саясаттың әдеттегі кейпі. Итерілген әдепкі маршрутты алып тастау трафиктің қайда баратынын шынымен өзгертеді, бірақ трафиктің оның орнына қайда баруы керектігін айтпайды және атауларды шешуге мүлдем тимейді. Саясатты тексеру үшін оның екі оң жартысы болуы керек.
Қайта бағыттауды жою — өзгерістің тек жартысы
Толық туннельді қайта бағыттау мен тек жеке саясат әлем туралы не тұжырымдайтынымен ерекшеленеді. Қайта бағыттау әрбір межелі орынды талап етеді, ал жеке саясат тізімді талап етіп, қалғанын тыныш қалдырады. Тізімді жазбай талапты жою жергілікті желіден тыс еш жерге жетпейтін клиент жасайды, бұл саясаттағы олқылық емес, маршруттау ақауы сияқты көрінеді. Талапты алып тастамас бұрын тізімді жазыңыз, сонда бұл екі қадамның реті маңызды болуын тоқтатады.
Екі жарты да әдепкі емес, талап. Жеке префикстер туннельге кіруі керек, ал қарапайым межелі орындар қосылымға дейінгі жолын сақтауы керек.
Егер ұйым толық туннельді міндеттесе, мұның ешқайсысы қолданылмайды. Тек жеке дизайн бөлінген маршруттау мақұлданған орналастыруларға жатады.
pull-filter — сәйкестік, ажыратқыш емес
pull-filter директивасы атаулары префикске сәйкес келетін итерілген опцияларды жояды, ол осыны ғана жасайды. Қайта бағыттауды елемеу қалған барлық итерілген опцияны орнында қалдырады, бұл әдетте қалағаныңыз: маршруттар, DNS параметрлері және маршрут қақпасының мәні әлі де жетеді. Ол жергілікті профильде жазылған директиваны да жоя алмайды, өйткені сүзу сервер итеретін нәрсеге қатысты.
route-тен басталатын әрбір опцияны елемеу азғырылуына қарсы тұрыңыз. Бұл үлгі қосылымға қажет жеке маршруттарды да тастайды және туннель тәуелді қақпа ақпаратын жоғалтуы мүмкін.
route-nopull көрінгеннен кеңірек шешім. Ол клиенттің итерілген маршруттарды және DHCP стиліндегі опцияларды топ ретінде қабылдауын тоқтатады, бұл бір опцияны сүзуден басқа саясат.
Маршрут тізімін қолданбадан сыртқа қарай жазыңыз
Пайдаланушы шынымен ашатын нәрседен бастап, содан кейін қолдаушы бөліктерді қосыңыз. 10.60.20.15 мекенжайындағы қолданба өзінің ішкі желісін 10.60.0.0/16 білдіреді, ал жеке атау оған жауап беретін шешушіні білдіреді. Сондықтан бір қолданба сұраған пайдаланушыға екі межелі орын және бір DNS шешімі қажет. Сол тізімнен тыс барлық нәрсе құрылымы бойынша ауқымнан тыс, және бұл саясатты тексеруге болатын күйде ұстайды.
Ынтымақтасатын серверде олар екі итерілген маршрутқа айналады және олардың ешқайсысы қайта бағыттау емес. Қолданыстағы қызмет ұсынатын туннель топологиясы мен маршрут қақпасының мәндерін сақтаңыз.
Бұл саясат тек кейбір пайдаланушыларға қажет болса, оны әр клиентке немесе топқа қолданыңыз. Бір топтың талабын түзету үшін барлығының маршруттауын өзгерту — бөлінген туннельдің іркіліске айналатын жолы.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
DNS бірдей жолмен жүрсін
Шешушіге баратын маршрут шешуші саясаты емес. systemd-resolved клиентінде мағыналық нәтиже жеке атау кеңістігі үшін ішкі шешушіге сілтейтін маршруттау домені, және тек сол атаулардың оны пайдалануына себеп болатын да осы. Windows клиентіне оның орнына өзінің атау кеңістігі саясатының тетігі қажет. Профильдегі DNS сервер жолы екеуінің ешқайсысын өздігінен орнатпайды.
Профиль талап еткенін емес, операциялық жүйе таңдағанын тексеріңіз. Linux-те resolvectl status әр қосылым үшін домен мен серверді көрсетеді; Windows-та атау кеңістігі саясатының кестесі баламалы дәлел.
Шешушіні туннель арқылы қолжетімді ұстаңыз, әйтпесе саясат сұрау мүмкін емес мекенжайға сілтейді. Туннель жете алмайтын шешуші мекенжайы жұмыс істеп тұрған саясатты уақыт өтуіне айналдырады.
Қайта қосылғанда екі жартыны да тексеріңіз
Өзгерістен кейін клиентті қайта қосыңыз және жеке мекенжайға және жария мекенжайға тиімді маршрутты қарап шығыңыз. Содан кейін жеке атауды және жария атауды шешіп, әрқайсысының көзделген шешушіні пайдаланғанын растаңыз. Жария веб-сайттың жүктелуі тек екінші жартыны дәлелдейді, және әдетте дәл сол жарты кездейсоқ жұмыс істейді.
Дайын саясатты бір сөйлеммен жазып қойыңыз: бұл префикстер мен атаулар осы қосылымды пайдаланады, қалғанының бәрі жергілікті жолмен жүреді. Содан кейін оны профильде ұстаңыз, әр кірген сайын адаптер параметрлерін жөндеудің орнына.