Роумингдеги VPN кардары кеңсе үчүн кызматты хосттой алабы?

Роуминг кардар кеңсенин тутумдарына кызмат кыла алат, эгер шлюз ага маршруттаса, хост саясаты уруксат берсе жана түзмөк жетиштүү узакка жеткиликтүү бойдон турса гана.

Кеңсе ноутбукуңуз үйдөн туташып, кеңсеге керектүү нерсени сунуштай алат, бирок үч өзүнчө чечим дал келгенде гана. Туннель — ташуу, ички дарек — багыт, ал эми саясат ким кага аларын чечет. Алардын кайсынысын болбосун толук жооп деп кабыл алуу тааныш нааразылыкты жаратат: хост ping'ге жооп берет, бирок колдонмо эч качан туташпайт. Ролдор бирдей эмес, жана айырма дал дизайн иши жайгашкан жерде.

Туташуу багыты кызматтын багыты жөнүндө эч нерсе айтпайт

Кардар туннелди баштаганда, ал пайда болгондон кийин эки багыт тең колдоно ала турган жолду ачат. Жаңы туташуу хабдан ошол кардарга карай кире алабы — бул шлюз саясатынын маселеси, туташкан адамдын касиети эмес. Мисалы, маршрутталган OpenVPN хабында серверге кардардын ички дарегине маршрут жана тең тараптуу мамилеге уруксат берүүчү кайра багыттоо керек.

Роуминг ноутбуктарындагы агентти сураган кампа эсеби тутумун же үйдөгү жумуш бекетинин сыноо API'син талап кылган иштеп чыгуучуну элестетиңиз. Экөө тең кеңсе тарабы сүйлөшүүнү башташын каалашат, бул адаттагы кардардан-серверге схемасынын тескериси.

Хостингдик алыскы кирүү продуктулары бул жерде ар башка, жана бул айырма кемчилик эмес. Айрым башкарылуучу VPN кызматтары туташкан кардарларга карай суралбаган туташууларды атайын тосот, анткени алардын модели кардардан-ресурска, ресурстан-кардарга эмес. Кесиптешиңизге анын ноутбуку сервер боло алат деп убада кылардан мурун продуктунун документтелген архитектурасын окуңуз.

Портту ачпас бұрын қайтару жолын қадағалаңыз

Жолдун үч бөлүгү бар: шлюзде кардардын ички дарегине көрсөткөн маршрут, белгилүү чалуучуга уруксат берүүчү саясат жана максатта угуучу кызмат. Ар бир бөлүк башкача иштен чыгат, ошондуктан «VPN күйүк» деген сөз дээрлик эч нерсе айтпайт.

Жакшы жаңылык — ички жол кардардын үй маршрутизаторунда портту кайра багыттоону талап кылбайт. Кызматты үй WAN дарегинде эмес, туннелдин дарегинде жарыялоонун мааниси ушунда, анткени үй WAN дарегинде ачыкка чыгуу жана NAT эрежелери такыр башка болмок. Үй маршрутизатору кеңседен келген туташууну hairpin кылуудан да баш тартышы мүмкүн, ошондуктан WAN жолу VPN'ге тиешеси жок себептерден иштен чыгат. Трафикти туннелдин ичинде кармоо эки маселени тең бир убакта четтетет.

Максат тарабын да текшериңиз. Бир гана 127.0.0.1 менен байланган кызмат туннелдин интерфейсине келген туташууну кабыл ала албайт, шлюздун маршруттары канчалык туура болсо да. Портко бир гана жергиликтүү субтармактан уруксат берген хосттун firewall эрежеси да кеңсе трафигин таштайт, жана бул эреже жогорку VPN саясатынан көз каранды эмес.

Атаулар мен мекенжайлар — дизайн шешімдері

Туннелдин ичиндеги дарек автоматтык түрдө ат болуп калбайт. Өзүңүз көзөмөлдөгөн жеке DNS жазуусу ачуу протоколу туннелден өтөт деп күтүүдөн алда канча так, анткени жергиликтүү multicast ат чечүү жергиликтүү сегментте калат жана субтармактар аралык DNS болбойт.

Даректин туруктуулугу да ошончолук маанилүү. Эгер VPN кардарлары кыска ижара пулунан алса, ноутбуктун ички дареги сессиялардын ортосунда өзгөрөт жана ага курулган ар бир бет белгиси, firewall аймагы жана мониторинг текшерүүсү үнсүз бузулат. Резервди же документтелген динамикалык жаңыртуу жолун колдонуңуз.

Атты VPN инсандыгынын ээси менен макулдашыңыз, жазуу, дарек бөлүштүрүү жана кирүү саясаты үч өзүнчө билетте эмес, чогуу өзгөрсүн.

Қызметті сынаңыз, мүшелікті емес

Максаттан эмне жана кайсы даректе угуп жатканын ырастаңыз, андан кийин шлюздун кайтуу жолу тууралуу көрүнүшүн ырастаңыз:

$ ss -ltnp | grep 8080
LISTEN 0 128 10.80.0.23:8080 0.0.0.0:*
$ ip -4 addr show tun0 | grep inet
inet 10.80.0.23/24 scope global tun0
$ ip route get 10.80.0.1
10.80.0.1 dev tun0 src 10.80.0.23

Эми кеңсе тарабынан жаңғырык эмес, чыныгы суроо менен сынаңыз. Кызматка каршы ийгиликтүү curl жолду, саясатты жана угуучуну бирден далилдейт, ал эми ийгиликтүү ping ICMP уруксат экенин гана далилдейт. Суроо ишке ашпаса, firewall'ду кеңейтип үмүт кылуунун ордуна үч бөлүктөн артка жүрүңүз.

Жеткиликтүүлүк ошол эле сүйлөшүүгө таандык. Ноутбук уктайт, тармактар арасында жүрөт жана күн аягында ажырайт. Каалаган саатта жооп бериши керек кызмат дайыма күйүк турган хостко таандык, ал эми мыкты аракеттеги кызмат бул чектөөнү жазып, кардарда кала алат.

Ресурсту атайын жарыялаңыз — ат, уруксат берилген чалуучулардын тизмеси жана ээси менен — ошондо алыскы түзмөк кокустан пайда болгон сервер эмес, колдоого алынган кызматка айланат.

Тектеш макалалар