Жеке маршруттарды сактап, кайра багыттоону алып салыңыз: OpenVPN бөлүнгөн туннели
Жеке тармактар үчүн гана туннелге эки эреже керек: жеке префикстер андан өтөт, кадимки серептөө өзүнүн жергиликтүү жолун сактайт. Демейки маршрутту жок кылуу — саясат эмес.
Туннел көтөрүлөт, колдонмо жүктөлөт, анан ноутбуктагы калган нерселердин баары кызыктай жүрүм-турумга өтөт. Бул бир сапты жок кылуу менен ишке ашырылган жеке гана саясаттын кадимки көрүнүшү. Түртүлгөн демейки маршрутту алып салуу трафиктин кайда бараарын чын эле өзгөртөт, бирок трафик анын ордуна кайда барышы керектигин айтпайт жана аттарды чечүүгө такыр тийбейт. Саясат текшерилиши үчүн анын эки оң жарымы болушу керек.
Кайра багыттоону жок кылуу — өзгөрүүнүн жарымы гана
Толук туннелдин кайра багыттоосу менен жеке гана саясат дүйнө жөнүндө эмнени ырастаары менен айырмаланат. Кайра багыттоо ар бир барар жерди талап кылат, ал эми жеке саясат тизмени талап кылып, калганын тынч калтырат. Тизмени жазбай талапты жок кылуу жергиликтүү тармактан тышкары эч жерге жетпеген клиент жаратат, бул саясаттагы кемтик эмес, маршруттоо бузулушуна окшойт. Талапты алып салганга чейин тизмени жазыңыз, ошондо бул эки кадамдын ирети маанилүү болбой калат.
Эки жарым тең демейки эмес, талап. Жеке префикстер туннелге кириши керек, ал эми кадимки барар жерлер байланышка чейинки жолун сакташы керек.
Эгер уюм толук туннелди милдеттендирсе, булардын эч бири колдонулбайт. Жеке гана долбоор бөлүнгөн маршруттоо уруксат берилген жайгаштырууларга таандык.
pull-filter — дал келүү, өчүргүч эмес
pull-filter директивасы аттары префикске дал келген түртүлгөн опцияларды жок кылат, ал ушунду гана кылат. Кайра багыттоону этибарга албай коюу калган бардык түртүлгөн опцияны ордунда калтырат, бул адатта каалаган нерсеңиз: маршруттар, DNS жөндөөлөрү жана маршрут дарбазасынын мааниси дагы эле жетет. Ал жергиликтүү профилде жазылган директиваны да жок кыла албайт, анткени чыпкалоо сервер түрткөн нерсеге тиешелүү.
route менен башталган ар бир опцияны этибарга албоо азгырыгына каршы туруңуз. Бул үлгү байланышка керектүү жеке маршруттарды да ыргытат жана туннел көз каранды болгон дарбаза маалыматын жоготушу мүмкүн.
route-nopull көрүнгөндөн кененирээк чечим. Ал клиенттин түртүлгөн маршруттарды жана DHCP стилиндеги опцияларды топ катары кабыл алышын токтотот, бул бир опцияны чыпкалоодон башка саясат.
Маршрут тизмесин колдонмодон тышкары карай жазыңыз
Колдонуучу чын эле ачкан нерседен баштап, анан колдоочу бөлүктөрдү кошуңуз. 10.60.20.15 дарегиндеги колдонмо өзүнүн ички тармагын 10.60.0.0/16 билдирет, ал эми жеке ат ага жооп берүүчү чечүүчүнү билдирет. Ошондуктан бир колдонмо сураган колдонуучуга эки барар жер жана бир DNS чечими керек. Ошол тизмеден тышкары баары түзүлүшү боюнча чөйрөдөн тыш, жана бул саясатты текшерүүгө боло турган абалда кармайт.
Кызматташкан серверде алар эки түртүлгөн маршрутка айланат жана алардын эч бири кайра багыттоо эмес. Колдонуудагы кызмат сунуштаган туннел топологиясын жана маршрут дарбазасынын маанилерин сактаңыз.
Бул саясат кээ бир колдонуучуларга гана керек болсо, аны ар бир клиентке же топко колдонуңуз. Бир топтун талабын оңдоо үчүн баарынын маршруттоосун өзгөртүү — бөлүнгөн туннелдин иркиликке айлануу жолу.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
DNS ошол эле жол менен жүрсүн
Чечүүчүгө барган маршрут чечүүчүнүн саясаты эмес. systemd-resolved клиентинде маанилик жыйынтык жеке ат мейкиндиги үчүн ички чечүүчүнү көрсөткөн маршруттоо домени, жана ушул эле ошол аттардын аны колдонушуна себеп болот. Windows клиентине анын ордуна өзүнүн ат мейкиндиги саясатынын механизми керек. Профилдеги DNS сервер сабы экөөнүн бирин да өз алдынча орнотпойт.
Профиль талап кылганды эмес, операциялык система тандаганын текшериңиз. Linux'то resolvectl status ар бир туташуу үчүн доменди жана серверди көрсөтөт; Windows'то ат мейкиндиги саясатынын таблицасы барабар далил.
Чечүүчүнү туннел аркылуу жеткиликтүү кармаңыз, болбосо саясат суроо мүмкүн болбогон дарекке көрсөтөт. Туннел жете албаган чечүүчү дареги иштеп жаткан саясатты убакыт бүтүүсүнө айландырат.
Кайра туташууда эки жарымды тең текшериңиз
Өзгөрүүдөн кийин клиентти кайра туташтырып, жеке дарекке жана коомдук дарекке эффективдүү маршрутту карап чыгыңыз. Анан жеке атты жана коомдук атты чечип, ар бири көздөлгөн чечүүчүнү колдонгонун ырастаңыз. Коомдук веб-сайттын жүктөлүшү экинчи жарымды гана далилдейт, жана адатта дал ошол жарым кокустан иштейт.
Даяр саясатты бир сүйлөм менен жазып коюңуз: бул префикстер жана аттар ушул туташууну колдонушат, калганынын баары жергиликтүү жол менен жүрөт. Анан аны профилде кармаңыз, ар бир кирүүдөн кийин адаптер жөндөөлөрүн оңдоонун ордуна.