Төмөнкү субнет жана иш тактасындагы VPN: транзитти чыгарып сал, колдонмолорду эмес
Колдонмо боюнча айланып өтүү жергиликтүү чыгууну гана классификациялайт. Иш станциясынын артындагы түзмөктөргө өз кирүү, өткөрүү жана кайтуу жолунун саясаты керек.
Бир машина, эки жумуш, бир firewall: Wi-Fi өйдө канал, анын артында кичине Ethernet субнети жана машинадан чыккандын баарын жергиликтүү деп эсептеген иш тактасынын VPN кардары. Жергиликтүү иштетилген колдонмолор жергиликтүү чыгуу жолу менен чыгат. Иш станциясынын артындагы түзмөктөр Ethernet портуна келет жана өткөрүү чечимин талап кылат. Биринчи жол үчүн жазылган өзгөчөлүк экинчисин эч качан көрбөйт, ошондуктан браузер туннелди айланып өтөт, түзмөктөр өтпөйт.
Эки пакет жолу, бир саясат
| Origin | Path | Decision owner |
|---|---|---|
| Application on the workstation | OUTPUT then egress | The VPN app's routing policy |
| Device behind the workstation | PREROUTING then FORWARD | The workstation's own forwarding policy |
Биринчи сап — көпчүлүк split-tunneling колдонмолору сүрөттөгөн нерсе. Экинчиси — ошол эле машинада кокустан жайгашкан маршрутизатор конфигурациясы. Аларды бир ой моделине бириктирүү — ката; алар өзөктү бөлүшөт, саясатты эмес. Ар кандай эрежени түзөтүүдөн мурун эки жолду тең тартыңыз, ал эми калган дизайн кайсы жол жетишсиз экенинен келип чыгат.
Таблица ошондой эле бир машина бир тесттен өтүп, экинчисинде эмне үчүн кулап калаарын түшүндүрөт. Иш станциясындагы браузер жергиликтүү жолду далилдейт; Ethernet портуна туташтырылган ноутбук өткөрүү жолун далилдейт. Ар бир өзгөртүүнү экөө менен тең текшериңиз, антпесе браузер канча жолу жаңыртылса да экинчиси текшерилбей калат.
Колдонмо өзгөчөлүгү чындыгында эмнени классификациялайт
Колдонмо боюнча өзгөчөлүк адатта мындай иштейт: процесстин же колдонуучунун пакеттерин белгилейт, андан кийин белгиленген трафикти туннелден тышкары маршруттайт. Бул жергиликтүү чыгуунун конструкциясы. Төмөнкү түзмөктүн пакетинде жергиликтүү процесс жок, ошондуктан ал селекторго эч качан дал келбейт, селектор кандай болсо да.
Селектор кандай болсо да, эки тизме бир тизме эмес, жана бүт маселе ушунда. Mullvad'дын Linux колдонмосу анын firewall'ы жана маршруттоо саясаты керектеген белгилерди сүрөттөйт, ал эми мисалдары жергиликтүү чыгууга багытталган; алар төмөнкү маршрутизатордун колдоого алынган сүрөттөмөсү эмес. Аларды көчүрүү баарын туннелге өткөрүп жатып, өзүндө өзгөчөлүк бар деп ишенген машина берет.
Транзит келишимин жазыңыз
Төмөнкү булак префиксин жана кирүү интерфейсин чогуу атаңыз, андан кийин ошол префиксти кирүүдө чектеңиз. Чектөөсүз портка жеткен ар кандай түзмөк өзгөчөлөнгөн даректи талап кылып, айланып өтүү аркылуу чыга алат. Аны эки суроо катары караңыз: бул хосттор бул өйдө каналды такыр колдоно алабы, жана алар иш станциясына же туннелдин жеке диапазондоруна жете алабы? Булар кошумча уруксаттар, канал тандоонун жанама таасири эмес.
Өткөрүүгө уруксат бериңиз, анан аны чыпкалаңыз. Linux дарбазасына күйгүзүлгөн өткөрүү, көздөлгөн трафикти эки багытта тең уруксат кылган эрежелер жана же өйдө кайтуу маршруту, же атайын чектелген булак котормосу керек. NAT жалгыз өйдө каналды тандабайт жана чыпкадан өтүүгө жол бербейт; ал даректи ошол чечимдерден кийин гана кайра жазат.
Транзит үчүн классификация өткөрүү маршрутунун чечиминен мурун болушу керек, башкача айтканда output эмес, prerouting баскычында. Чечимден кийин коюлган эреже пакетти дагы деле өзгөртө алат, бирок пакет кайда жиберилгенин өзгөртө албайт.
Белгилер аларга ээ болгон колдонмого таандык
Белги маанилери, таблица номерлери жана чынжыр артыкчылыктары VPN колдонмосунун саясатынын бөлүгү, түбөлүк туруктуулар эмес. Башка программа кайра жараткан таблицага эреже киргизүүгө көз каранды тармак кийинки жаңыртууда бузулат, адатта ыңгайлуу убакта эмес, кайра туташуу учурунда.
accept өкүмү бар экинчи негизги чынжырды кошуу кийинки чынжырдын drop өкүмүн милдеттүү түрдө жойбойт. Негизги чынжырлардын илгичтери жана артыкчылыктары бар, жана тартип боюнча биринчи өкүм жеңет; бир чынжырдагы accept башка чынжыр биринчи жеткен drop өкүмүн жокко чыгарбайт. Өскөн бир эсептегичти эмес, толук эрежелер жыйындысын жана маршруттоо саясатынын тартибин караңыз. Эсептегич эреженин иштегенин далилдейт, анын өкүмү колдонулганын эч качан далилдебейт.
Бириктириңиз же субнетти жылдырыңыз
Эки дизайн айланып өтүүгө ким ээ экени менен айырмаланат. Бириктирилген дизайн бир машинаны жана бир саясатты сактайт, бирок VPN колдонмосунун таблица жашоо циклинен жана анын документтери өзгөртүшү мүмкүн болгон белгилер жыйындысынан көз карандылык баасы менен. Төмөнкү тармак үчүн атайын маршрутизатор бул көз карандылыкты толугу менен жоёт: субнеттин өз өйдө каналы бар, ал эми иш станциясы өткөрүү ролу жок кардар бойдон калат.
Экинчисин тандаңыз, эгер төмөнкү тармак VPN жаңыртууларынын арасында иштей бериши керек болсо, же ар бир чыгарылыштан кийин бириктирилген саясатты эч ким текшере албаса. Биринчисин бириктирүү документтелген жана ага бирөө жооптуу болгондо гана тандаңыз.
Чекти төрт абалда текшериңиз: туташкан, кайра туташып жаткан, атайын бөгөттөлгөн жана токтотулган. Ар биринде ат чечүү жана эки дарек үй-бүлөсүн текшериңиз, анткени DNS агылган айланып өтүү — сиз долбоорлогон өзгөчөлүк эмес. Тест так чекти далилдеши керек, бир гана барак жүктөлгөнүн эмес.