Жалгыз кошуу же жалгыз алып салуу сплит-туннели: кайсынысы демейки болушу керек?
Демейкини тизме түзүлө электе тандаңыз: өзүңүз атаганды гана туннелге жибериңиз же баарын жиберип, өзгөчөлүктөрдү кырып алыңыз. Анан эч ким тизмеге кіргизбеген колдонмо менен сынап көрүңүз.
VPN кардардын маршруттоо бөлүмүн ачсаңыз, көбүнчө бирдей жазууну тагын-ган, формасы башка эки башкаруу элементин көрөсүз. Бири туннелге кирүүчү багыттарды тизмелөөнү талап кылат, калганы жергиликтүү тармакты колдоно берет. Экинчиси баары туннелден өтөт деп болжоп, эмнени кайра сыртка чыгарууну сурайт. Экөө тең биринчи сыноодо иштеген туннель берет жана экөө тең тизмеге сап кошуу менен кармалат, ошондуктан бирөө жаңы нерсе орноткончо айырма байкалбайт.
Бул функция эмес, демейки маанини тандоо. Тизмеде жыйырма жазуу боло электе чечип коюңуз.
Демейкини брошюрадан эмес, кардардан окуңуз
WireGuard бул чечимди өзгөчө көрүнүктүү кылат, анткени AllowedIPs кошуу тизмеси гана, башка эч нерсе эмес. 0.0.0.0/0, ::/0 бар теңдеш баарын туннелге жиберет, 10.20.0.0/16 бар теңдеш ушул тармакты гана жиберет. Алып салуу синтаксиси жок, ошондуктан бир ички тармакты сыртта калтыргыңыз келсе, калган префикстерди санап чыгууга же интерфейстен тышкары саясаттык маршруттоо кошууга туура келет.
OpenVPN карама-каршы тараптан ушул эле жерге жетет: redirect-gateway def1 толук туннель орнотот, ал эми айрым route директивалары белгилүү префикстерди кошот же кайра жазат. Коммерциялык кардарлар көбүнчө экөөнү тең белги кутучасы менен багыттар таблицасынын артына жашырат, ошондуктан жазууга ишенбей туруп, таблица кайсынысын чындап оңдоп жатканын окуңуз.
Суроо белги кутучасынын аталышында эмес. Суроо эки тизменин биринен да табылбаган багыттагы пакетке эмне болорунда. Муну жазуу түрүндө жооп кылсаңыз, калган конфигурация ошондон келип чыгат. Бул суроону өткөрүп жиберсеңиз, биринчи түшүндүрүлбөгөн бузулушту ал күнү кардарга эң жакын адам чечет.
Эч ким тизмеге кіргизбеген колдонмону ээрчип көрүңүз
Кошуу гана схемасында бул колдонмо жергиликтүү тармак жана жергиликтүү DNS менен түз чыгат. Алып салуу гана схемасында ал сервер уруксат кылган челде туннелден өтөт, жана жаңы SaaS куралынын биринчи күнү иштеши менен VPN аны бузду деген билеттин ортосундагы айырма көбүнчө ушул жерден чыгат.
Эки демейкинин бири да өз алдынча коопсузраак эмес. Кошуу гана туннел ташыганды тарылтып, жергиликтүү тармакты эң аз каршылык жолуна айландырат, алып салуу гана туннелди кадимки жол деп эсептеп, өзгөчөлүктөрдү өзгөчөлүк катары карайт, бул көптөгөн корпоративдик саясат чындап көздөгөн нерсеге жакын.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Платформа кандай объектилерди тизмелей турганына көңүл буруңуз
Android'дин VpnService.Builder уруксат берилген колдонмолор тизмесин жана тыюу салынган колдонмолор тизмесин эки өзүнчө модель катары сунуштайт, ал эми колдонмо боюнча эрежелер багыт боюнча эмес, пакет боюнча тандайт. Ушундай тизмеге коюлган браузер ачкан багыттардын баарын кошо алып жүрөт, бул маршрут таблицасынан башкача тактык жана иштеп жаткан колдонмонун ичиндеги бир бузук сайтты оңдой албайт.
Десктоп кардарлар көбүнчө эки түрдү бир интерфейске аралаштырат, ошондуктан кошуп жаткан сабыңыз пакетпи, хост атыбы же префикспи экенин текшериңиз. Алар ар башкача бузулат жана ар башка жерде чечилет. Хост атынын сабы көбүнчө маршрут менен атка айланат, пакеттин сабы кардардын ичиндеги саясат чечимине айланат. Кайсынысын кошканыңызды жазып коюңуз, анткени кийинчерээк оңдогон адам экинчисин болжолдойт.
Ийгиликтүү жолду гана эмес, бузулуу абалын сынаңыз
Туннелден алып салынган колдонмо автоматтык түрдө таза түз жетүүгө ээ болбойт. Эгер кардар туннелсиз блоктоо эрежесин да колдонсо, алып салынган трафик толугу менен ташталышы мүмкүн, бул маршруттоо чечими эмес, бузук колдонмого окшош болуп көрүнөт. Бул учурду колдонуучунун кабарынан билбей, атайын сынап көрүңүз.
Анан DNS менен IPv6ны өзүнчө берене катары текшериңиз. IPv4 гана ташыган туннель v6га жөндөмдүү колдонмого айланып өтүү жолун калтырат, ал эми split DNS туннелден такыр өтпөгөн трафик үчүн ички аттар чечилерин аныктайт. Тизмедеги колдонмону, тизмеде жок колдонмону, ат издөөнү жана бир кайра туташууну иштетип, жыйынтыктарды конфигурация менен бирге сактаңыз.
Демейкини кийинки адам таба турган жерге жазыңыз
Тандалган демейкини, өзгөчөлүктөрдү жана алардын ээсин кардардын профили менен бир жерге жазып коюңуз, анткени кийинки администратор бул түшүндүрмөнү окубастан жазуу кошот. Күнүн жана ар бир өзгөчөлүктүн себебин белгилеңиз, ошондо кийин оңдолгон сайт үчүн эскирген кырып салууну ишенимдүү түрдө алып салса болот. Себеби жок тизме чексиз өсөт.
Бирөө бир бузук багыт тууралуу кабарласа, негизди эмес, өзгөчөлүктү өзгөртүңүз. Бир сайтты оңдоо үчүн демейкини тескери буруу тизмеде жок бардык колдонмону туннелдин экинчи жагына үнсүз жылдырат.