Телефон VPN-і үйге: firewall-ды интернет шығысыңызға айналдырыңыз

Телефонды үй туннеліне қосу және LAN файл бөлісімін ашу туннельдің жұмыс істеп тұрғанын дәлелдейді. Бұл телефонның интернет сұраныстарының үй арқылы шығатынын дәлелдемейді. Бұл екі нәтиженің арасындағы айырмашылық — қайта бағыттау саясаты мен маршрут, телефондағы тағы бір белгі қойылатын ұяшық емес. Бұл сондай-ақ көпшілік әлдеқашан баптады деп ойлайтын айырмашылық.

Шығыс жолын үш шешім жасайды: телефон туннельге не жібереді, үй қақпасы оны қайда қайта бағыттайды және туннель болмағанда не болады. Әрқайсысының телефон экранынан басқаларына ұқсайтын істен шығу режимі бар.

Екі секіріс, екі саясат

Сыртқы байланыс үйдегі VPN тыңдаушысында аяқталады. Ішкі пакет — бір жерге қайта бағытталуы керек жеке нысан, ал қайта бағыттау туннельді бастапқыда қабылдаудан өзгеше firewall шешімі.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Кәдімгі үй маршрутизаторында бұлар әртүрлі ереже жиынтықтарында тұрады. Туннельді қабылдау — VPN интерфейсіндегі кіріс саясаты; телефон трафигін интернетке шығару — қайта бағыттау саясаты және uplink қажет ететін көз аудармасы. Туннельді қабылдап, ештеңе қайта бағыттамайтын маршрутизатор қосылған күйде көрінетін және ешбір бетті жүктемейтін телефон береді.

Егер VPN қызметі үйдің ішіндегі бөлек машинада жұмыс істесе, бір секіріс қосыңыз. Енді маршрутизатор сол машинадан келетін трафикті көреді, сондықтан оның ережелері телефонның туннель мекенжайына емес, сервердің мекенжайына қолданылады, ал көз аудармасы әр телефонды бір хост ретінде көрсете алады.

Тыңдаушы сүзгі емес

Қажетті ақпарат әлі бар кезде қай жерде орындалатынын шешіңіз. Маршрутизаторда телефонның туннель мекенжайы көрінеді және оны тікелей сәйкестендіруге болады. Екінші аударманың артында ол жоқ, ал телефон мекенжайына жазылған ережелер үнсіз ештеңемен сәйкес келмейді.

Саясаттың ноутбукке жарап, телефонға жарамауының әдеттегі себебі осы. Ноутбук маршрутизаторға тікелей қосылады, телефон маршрутизатор арқылы қайта бағыттайтын серверге қосылады, және тек бірінші жол ғана ереже күтетін мекенжайды сақтайды. Ереже қате емес; ол сол нүктеде енді жоқ мәнмен сәйкестенеді.

Әр орындау нүктесінде көрінетін көз мекенжайымен жолды жазып алыңыз. Сол бір диаграмма кез келген ережені өңдеуден бұрын осы жағдайлардың көбін шешеді.

Телефон шын мәнінде не жіберуі керек

Тек үй ішкі желісіне маршрут алатын телефон сол ішкі желінің трафигін ғана туннельге жібереді. Қалғанының бәрі ұялы желі арқылы шығады, сондықтан файл бөлісімі жұмыс істейді, ал интернет сұраныстары үйге ешқашан жетпейді.

Толық туннель қамтуы — клиент жағындағы маршруттау шешімі, және оны орнатылатын профильден болжамай, платформа қолдайтын механизммен орнату керек. Орнатылғаннан кейін VPN серверінің өзіне қайтатын маршрут туннельден тыс қалуы керек, әйтпесе клиент өз тасымалын ұстай алмайды.

DNS өз шешімін қажет етеді, өйткені дәл осы бөлік қалған трафиктен ауытқуға бейім. Профильдегі шешкіш мекенжайы клиенттер әртүрлі өңдейтін ұсыныс, ал өзінің шифрланған шешкіші бар қолданба мүлде бөлек жол ұстауы мүмкін. Егер үй саясаты сұраныстардың белгілі бір шешкішке жетуіне тәуелді болса, оны трафик шын мәнінде өтетін жерде қолданыңыз, немесе кейбір сұраныстар оны істемейді деп қабылдаңыз. Шешкішіңізді айналып өтетін сұраныс ол үшін жазылған ережеге ешқашан жетпейді.

IPv6 DNS сияқты абзацта, қосымшада емес. Толық IPv4 туннелі AAAA трафигі туралы ештеңе айтпайды, ал қосарланған стекті ұялы желідегі телефон ол үшін байырғы жолды қуана пайдаланады. Тасымалдауды немесе бұғаттауды нақты таңдаңыз.

Firewall нені көре алады және нені көре алмайды

Қақпа өзінің орындау нүктесі ашатын нәрсеге әрекет ете алады: мекенжайлар, порттар, протокол, интерфейс және байланыс метадеректері. Қайта бағытталған HTTPS сұранысы тек үй туннелінен өтетіндіктен беттің негізгі бөлігін немесе құпиясөзді бермейді.

Бұл шекараны айтуға тұрарлық, өйткені «оны firewall арқылы өткіз» деген сөз тіркесі үй маршрутизаторы жасайтыннан да көп тексеруді білдіреді. Барар жер ережесі, DNS саясаты және қолданба деңгейіндегі прокси — үш түрлі енгізу құны бар үш түрлі бақылау.

Үй LAN клиенттері үшін бапталған мүмкіндік VPN интерфейсіне де қатысты деп ойламаңыз. Аймақ мүшелігі — конфигурация таңдауы, ал дұрыс аймақта болмаған VPN интерфейсі диваннан тексерген ережелердің бірде-бірін мұраламайды.

Ажыратылған күйді шешіңіз

Туннель қолжетімсіз болғанда, телефон не ұялы желіге қайтады, не трафикті жіберуден бас тартады. Екеуі де орынды, және олардың тек біреуі көпшілік баптады деп сенетін нәрсеге сәйкес келеді.

Қайта оралу ыңғайлы және анықтамасы бойынша ағып кетеді: туннель құлаған сәт — сұраныстардың оператор жолымен сыртқа шығатын сәті. Бұғаттау күштірек және телефонды үйдің қолжетімділігіне тәуелді етеді, бұл сапарда жүрген адам үшін нақты қолжетімділік шығыны. Екі мінез-құлықтың ешқайсысы ақау емес; екеуі де өнім, және айтсаңыз да, айтпасаңыз да, олардың арасында таңдайсыз.

Болжаудың орнына таңдауды тексеріңіз. Үй қызметін тоқтатыңыз, содан кейін телефон браузерінен бір сұраныс және фонда жұмыс істеп тұрған қолданбадан бір сұраныс жасап көріңіз. Кейінірек қайта қосылу әлдеқашан кеткен сұраныстарды жоймайды.

Телефонның өзінен екі бақыланатын тексеріспен аяқтаңыз: үй арқылы өтуі тиіс бір рұқсат етілген операция және үй саясаты орындауы тиіс бір бас тарту. Қақпа күткен ағыныңызды, күткен мекенжайлар отбасында, қайта қосылғаннан кейін тіркегенін растаңыз. «Қосылған» көрсететін телефон — сол тексерудің басы, ешқашан соңы емес.