Маршрутизатордогу VPN эрежелери: булакты жана багытты дал келтириңиз

Маршрутизатор сатып алуу барактары VPN багыттоону бир белги кутучасы катары көрсөтөт, жана бул сүйлөм үч түрдүү суроону жашырат. Эреже трафикти жөнөткөн түзмөккө, аны кабыл алган серверге же экөөнө тең дал келеби? Эч бирине дал келбеген трафикке эмне болот? Ал эми эки эреже кабатташканда кайсы жеңет? Жоопту булак жана багыт жуптугу катары жазуу бүдөмүк функциялар тизмесин текшерүүгө боло турган долбоорго айландырат.

Функциянын аталышы эки учту жашырат

Туннелди колдонушу керек болгон медиа ойноткуч — булак дал келиши. Туннел аркылуу жеткиликтүү болушу керек болгон жеке кеңсе префикси — багыт дал келиши. Туннелди бир гана кызмат үчүн колдонушу керек болгон жумуш станциясы — экөө тең, жана ошол кесилишме керектөөчү программалык камсыздоонун көбү начар чечкен учур.

Продукцияларды салыштырганга чейин талапты жуп катары жазыңыз. Кийин текшере турган нерсе — ошол жуп.

Түзмөктөр тизмесин же глобалдык багыттар тизмесин сунуштаган продукт «ушул түзмөк гана, ушул багыттар гана» деп айта албашы мүмкүн. Бул айырма сырткы эмес: глобалдык багыт эрежеси ошол сайтка бардык түзмөктүн трафигин туннел аркылуу жөнөтөт, ал эми түзмөк эрежеси ошол түзмөктүн бардык трафигин жөнөтөт. Экөө тең талап эмес. Экранга ишенүүдөн мурун бул учурду эки түзмөк менен текшериңиз.

Эрежени кесилишме катары куруңуз

Таблица долбоорду чынчыл кармайт. Сценарийди сол жакка коюңуз, анан жөнөтүүчү дал келишин жана максат дал келишин өзүнчө атаңыз:

Үчүнчү сап кызыктуу, анткени ага эки жарым тең бир убакта керек. Эгер программалык камсыздоо бир гана окту билдире алса, талапты эки эрежеге бөлүү же муну жасай алган түзмөккө которуу керек.

Булактын инсандыгын туруктуу кармаңыз. DHCP резервдөө, атайын сегмент же түзмөк инсандыгы механизми иштейт, бирок ижара мөөнөтү бүткөндөн кийин өзгөргөн дарек иштебейт. IPv6 кошуңуз, анткени бир IPv4 дареги түзмөктүн бардык трафигин аныктабайт.

Кабатташууну артыкчылык чечет

Эрежелердин кабатташуусу кадимки. Кенен түзмөк эрежеси жана тар багыт эрежеси бир агымды сүрөттөй алады, жана документтелген артыкчылык тартиби кайсы жеңерин чечет. Тартуучу жөндөөлөр экраны бул тартипти айтпайт.

Тартип жана дал келбеген учур тууралуу колдонмону окуп, анан экөөнү тең байкоого боло турган трафик менен текшериңиз:

ip rule show
ip route get 203.0.113.10

Эгер документтер тартипти көрсөтпөсө, тар эреже жеңбеши мүмкүн деп эсептеп, ошого жараша долбоорлоңуз. Кагылыша албаган эки эрежени колдоо, артыкчылыгы документтелбеген бир акылдуу эрежеден оңой.

Аталыштарга жаңыртуу саясаты керек

Домен катары жазылган багыт тейлөө маселесин кошот. Маршрутизатор аны чечиши, картаны жаңыртышы, бир нече даректи жана субдоменди иштетиши, жана күтүлгөн чечүүчүнү айланып өткөн колдонмо DNS менен иштеши керек.

Бир издөө натыйжасын IP эрежесине көчүрүү — сүрөт, домен саясаты эмес.

Эреже туура эмес болгонго чейин жооп канча эскире аларын жана чечүү ийгиликсиз болгондо маршрутизатор эмне кыларын чечиңиз. Акыркы белгилүү даректи сактаган эреже кызматтын миграциясынан өтүшү мүмкүн; жазууну таштаган эреже туннелдөөнү үнсүз токтотушу мүмкүн. Эки жүрүм-турум тең эреженин жанына жазылса, кабыл алынат.

Жеткиликсиз абалды аныктаңыз

Маршруттун артыкчылыгы VPN-гана трафикти милдеттендирбейт. Туннел өчүп турганда, маршрутизатор агымды тосо алат, түз жөнөтө алат же башка туннелди колдоно алат, жана ар бир тандоонун ийгиликсиздик белгиси башка.

Талапка кайсы керек экенин чечиңиз, анан туннелди токтотуп, агымды байкоо аркылуу текшериңиз:

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10

Маршрутизатордун өзүнөн чыккан трафик өзүнчө аймак. DNS өткөрүү, жаңыртууларды текшерүү жана мониторинг түзмөктүн булак дал келишин мураска алуунун ордуна маршрутизатордон жаңы агымдарды баштай алат. Бул агымдарды ачык эсепке алыңыз, болбосо алар журналдарда түшүндүрүлбөгөн агып кетүү катары көрүнөт.