Колдонмого жана багытка негизделген split tunneling: кайсынысын тандоо керек

Колдонмого жана багытка негизделген split tunneling бир иштин эки жөндөөсү эмес. Бири кайсы процесс пакет жиберип жатканын сурайт; экинчиси ошол пакеттин кайда баратканын сурайт. Биринчи суроо үчүн курулган эреже трафик жардамчы процесстен келгенде үнсүз ишке ашпай калат, ал эми экинчиси үчүн курулган эреже хост аты сиз эч качан тизмеге киргизбеген дарекке чечилгенде ишке ашпайт. Талапка ылайык келген объектини тандаңыз, анан аны эки сыноо пакети менен далилдеңиз: бири туннелди колдонушу керек, экинчиси колдонбошу керек.

Эки эреже ар кайсы катмарларда иштейт

Колдонмо эрежеси тармак катмарынан жогору, операциялык система жиберүүчүгө берген инсандыкка каршы колдонулат. Android'де бул пакеттин артындагы UID, жана VPN кызматы ар бир UID үчүн трафиктин туннелге кирерин чечет. Багыт жөнүндө эч нерсе суралбайт, ошондуктан тандалган колдонмо бардык жерге жете алат, ал эми башка колдонмо ички тармакка жете албайт.

Багыт эрежеси пакеттин өзүнө колдонулат. Туннел интерфейсинде префикстердин топтому бар, маршруттоо таблицасы дал келген трафикти ошол жакка жиберет, ал эми жиберүүчү процесс маанилүү эмес. Ошондуктан багыт эрежеси эч ким тизмеге кошууну унуткан кызматты, принтерди же топтом иштин баарын камтыйт, жана ошондуктан аны клиенти процессти эч качан карабаган платформада так ушул программа деп туюнтуу мүмкүн эмес.

Колдонмо эрежелери мобилдик клиенттерге жана башкарылуучу агенттерге ылайыктуу

Android тандоону түз сунуштайт: VpnService.Builder.addAllowedApplication() жана addDisallowedApplication() пакет аттарын алып, ар бир UID үчүн чечимди колдонушат, бул Android'дин VPN иштеп чыгуучу колдонмосунда сүрөттөлгөндөй. iOS'те bundle идентификаторлоруна негизделген ар бир колдонмо үчүн VPN эрежелери аркылуу барабар мүмкүнчүлүк бар, алар адатта кол менен жазылбастан MDM профили аркылуу жеткирилет.

Десктоп клиенттери алсыз жер. Windows жана macOS VPN клиенттеринин көбү багыт боюнча маршруттайт жана процесс боюнча тандоону такыр сунуштабайт, анткени туннел драйвери процесстерди эмес, пакеттерди көрөт. Эгер план ноутбукта бир колдонмону туннелдөөгө көз каранды болсо, анын айланасында долбоорлоодон мурун клиенттин чыныгы мүмкүнчүлүктөрүн текшериңиз; балким сиз багыттардын тизмеси менен экинчи машинанын ортосунда тандап жатасыз.

Адамдар көп унуткан жыйынтык: ал платформаларда маршруттар менен колдонмо эрежесин окшоштуруу мүмкүн эмес. Колдонмонун серверине хост маршрутун кошуу баарынын трафигин ошол серверге туннелдейт, браузер менен жаңырткычты кошкондо.

Багыт эрежелери подсеттер тизмесине жана сайттарга жетүүгө ылайыктуу

WireGuard моделди ачык кылат. AllowedIPs криптоачкыч маршруттоо: багыты өнөктөштүн тизмесине кирген ички пакет ошол өнөктөшкө шифрленет, калганынын баары кадимки жол менен шифрленбестен чыгат. Атоого тийиштүү процесс да, эмне киргени тууралуу эки маанилүүлүк да жок.

OpenVPN түртүлгөн маршруттоо таблицасы аркылуу ошол эле жерге жетет. route-nopull серверге маршруттарды таңуулоону токтотот, андан кийин клиент тараптагы route 10.20.0.0 255.255.0.0 vpn_gateway так офис префиксин камтыйт. IPv6 ушул клиенттердин ар биринде өзүнчө билдирүү, жана аны унутуу туура көрүнгөн IPv4 бөлүнүүсүнүн айланасында агып кетүүнүн эң кеңири тараган жолу.

Хост аты маршрут эмес. Эгер профиль домен талаасын сунуштаса, аны клиент бир жолу чечкен ат катары караңыз, туруктуу дарек диапазону катары эмес; контент жеткирүү тармактары менен жүктөм теңдегичтери эртең башка даректерди берет.

Эки модель кайсы жерде бузулат: жардамчылар, жалпы кызматтар, чечүүчүлөр

Жардамчы процесстер колдонмо эрежелерин бузат жана бул сервердин бузулушуна окшош көрүнөт. Браузердин жаңырткычы, кырсык кабарчысы, SYSTEM катары иштеген синхрондоо кызматы жана башка пакетке киргизилген WebView баары өзүнчө инсандыктар, ошондуктан браузерди туннелдөө чыныгы сурамды туннелден тышкары калтырышы мүмкүн. Тескерисинче да ушунчалык баш аламан: туннелденген процесстин ичиндеги жалпы китепкананы чакырган чыгарылган колдонмонун трафиги баары бир туннелден өтөт.

Багыт эрежелери жалпы кызматтарда жана аттарда бузулат. Файл бөлүшүүлөр, принтерлер, ички DNS жана лицензия сервери даректерде жашайт, ошондуктан бир колдонмонун туннели браузерге жетүү берет, ал эми туташтырылган диск өлүк бойдон калат. Бул камтуу айырмасы эки моделдин эч биринин катасы эмес, бирок бир колдонмонун туннели ушунчалык көп жолу VPN күйүп турат, ал эми бөлүшүү жок болду деген көрүнүштү жаратат.

Чечүүчүлөр экөөнү тең кесип өтөт. Эгер клиент ички DNS серверлерин коюп, бирок операциялык система ачык чечүүчүгө HTTPS аркылуу DNS колдонсо, жооп туннелден тыштан келет жана багыт эрежеси эч качан дал келбеши мүмкүн. Эреже туура эмес деп жыйынтык чыгардан мурун кайсы чечүүчү чындыгында жооп бергенин текшериңиз, жана клиент тарапта туннел чечүүчүсүн такыр орнотконун ырастаңыз. DNS'ти туннелден тышкары калтырган бөлүү маршруттоо таблицасында кемчиликсиз көрүнөт жана баары бир ар бир ички атта ишке ашпайт.

Иш план: танда, колдон, текшер

Менюден эмес, талаптан баштаңыз. Эгер максат так ушул колдонмо туннелди колдонсун деген болсо, колдонмо эрежелери жана аларды колдогон платформа керек. Эгер максат бул тармактарга туннел аркылуу жетүү болсо, префикстер керек. Эгер жооп экөө тең болсо, аларды эки өзүнчө башкаруу катары ишке ашырыңыз жана кайсынысы кайсы бузулушка жооптуу экенин жазыңыз.

Туюнта алган эң тар форманы колдонуңуз, анан клиенттин статус белгисине эмес, маршруттоо таблицасына суроо берүү менен текшериңиз:

ip route get 10.20.30.40
ip -6 route get 2001:db8:10::40
wg show wg0 allowed-ips
Get-NetRoute -DestinationPrefix 10.20.0.0/16
Find-NetRoute -RemoteIPAddress 10.20.30.40

Алгачкы эки сап чыныгы багыт колдоно турган интерфейсти атайт; wg show конфигурацияланган префикстер тизмесин басып чыгарат; Windows'то Find-NetRoute пакет жиберилгенде стек жооп бере турган ошол эле суроого жооп берет. Эгер интерфейс туннел болсо, эреже дал келди.

Андан кийин чыгарылуучу экинчи пакетти башка колдонмодон ошол эле багытка сынаңыз. Билетке клиенттин версиясын, эреженин түрүн, префикстер же пакеттер тизмесин жана байкалган эки жыйынтыкты жазыңыз. Так ушул жыйынтыктардын жуптугу кийинки инженерге саясат туура эмес конфигурацияланганын же трафик ага эч качан таандык болбогонун айтат.