App-baséiert vs. Destinatiouns-baséiert Split Tunneling: wat wielen

App-baséiert an Destinatiouns-baséiert Split Tunneling sinn net zwou Astellunge fir déi selwecht Aarbecht. Déi eng freet, wéi e Prozess e Paket schéckt; déi aner freet, wou dëst Paket hien geet. Eng Regel, déi fir déi éischt Fro gebaut ass, versot still, wann den Traffic vun engem Hëllefsprozess kënnt, an eng Regel fir déi zweet versot, wann en Hostnumm op eng Adress opgeléist gëtt, déi Dir ni opgezielt hutt. Wielt den Objet, deen der Ufuerderung entsprécht, a bewisen en mat zwee Testpaketen: een, deen den Tunnel muss benotzen, an een, deen en net däerf.

Déi zwou Regele schaffen op verschidden Niveauen

Eng App-Regel gëtt iwwer der Netzwierkschicht duerchgesat, géint d'Identitéit, déi d'Betribssystem dem Sender gëtt. Op Android ass dat d'UID hannert engem Paket, an den VPN-Service entscheet pro UID, ob den Traffic an den Tunnel geet. Iwwer d'Destinatioun gëtt näischt gefrot, also kann déi gewielten App alles erreechen an eng aner App kann dat intern Netzwierk net erreechen.

Eng Destinatiounsregel gëtt um Paket selwer duerchgesat. D'Tunnel-Interface huet eng Rei Prefixen, d'Routentabelle schéckt de passenden Traffic dran, an de sendende Prozess ass irrelevant. Dofir deckt eng Destinatiounsregel e Service, en Drucker oder eng Batch-Aarbecht of, déi kee geduecht huet opzezielen, an dofir kann s'op enger Plattform, deenen hire Client ni de Prozess kuckt, net als genau dëst Programm ausgedréckt ginn.

App-Regele passen zu mobilen Cliente an zu geréierten Agenten

Android weist d'Wiel direkt: VpnService.Builder.addAllowedApplication() an addDisallowedApplication() huelen Paketnimm an ëmsetzen d'Entscheedung pro UID, wéi am VPN-Entwécklerhandbuch vun Android beschriwwen. iOS huet en Äquivalent iwwer VPN-Regele pro App op Basis vu Bundle-Identifianten, déi meeschtens duerch en MDM-Profil geliwwert ginn an net vun Hand getippt.

Desktop-Cliente sinn de schwaache Punkt. Déi meescht Windows- an macOS-VPN-Cliente routen no Destinatioun an ubidden iwwerhaapt keng Auswiel pro Prozess, well den Tunneldriver Paketen gesäit, net Prozesser. Wann Äre Plang dovun ofhängt, eng eenzeg Applikatioun op engem Laptop ze tunnelen, kontrolléiert déi tatsächlech Fäegkeete vum Client, ier Dir dorëmsch mengt ze designen; vläicht wielt Dir tëscht enger Destinatiounslëscht an enger zweeter Maschinn.

Eng Konsequenz, déi d'Leit iwwersinn: op dëse Plattformen kënnt Dir eng App-Regel net mat Route mimikéieren. Eng Host-Route fir de Server vun der App bäizesetzen tunnelt de Traffic vun allen op dee Server, inklusiv de Browser an den Updater.

Destinatiounsregele passen zu Subnetlëschten an zur Erreechbarkeet vu Siten

WireGuard mécht de Modell explizit. AllowedIPs ass Kryptoschlëssel-Routing: en bannenzege Paket, deem seng Destinatioun an d'Lëscht vun engem Peer fält, gëtt op dee Peer verschlësselt, an alles anescht geet onverschlësselt iwwer den normale Wee eraus. Et gëtt kee Prozess ze nennen an keng Ambiguitéit, wat abegraff ass.

OpenVPN erreecht déiselwecht Plaz iwwer déi gedréckt Routentabelle. route-nopull verhënnert, datt de Server Route virschreift, duerno deckt eng client-säiteg route 10.20.0.0 255.255.0.0 vpn_gateway genau de Büro-Prefix of. IPv6 ass an all dëse Clienten eng eege Ausso, an et ze vergiessen ass dee geleefegste Wee, ronderëm en richteg ausgesäiten IPv4-Split ze lecken.

En Hostnumm ass keng Route. Wann de Profil en Domänfeld ubitt, behandelt en als en Numm, deen de Client eemol opléist, net als permanent Adressberäich; Content-Delivery-Netzwierker a Load-Balancer ginn muer aner Adressen aus.

Wou béid Modeller briechen: Hëllefsprozesser, gedeelte Servicer, Resolver

Hëllefsprozesser briechen App-Reegelen op eng Manéier, déi wéi e Serverfehler ausgesäit. Den Updater vun engem Browser, e Crash-Reporter, e Sync-Service deen als SYSTEM laft an en WebView, deen an engem anere Paket agebaut ass, sinn alles getrennt Identitéiten, also kann d'Tunnelen vum Browser déi tatsächlech Ufro baussent dem Tunnel loossen. D'Géigendeel ass grad esou verwierend: eng ausgeschlossene App, déi eng gedeelt Bibliothéik bannent engem getunnelte Prozess opruft, huet hire Traffic trotzdem duerch den Tunnel.

Destinatiounsregelen briechen op gedeelte Servicer an op Nimm. Dateifrëschen, Drucker, intern DNS an de Lizenzserver liewen all op Adressen, dofir gëtt en Een-App-Tunnel dem Browser Zougang, während d'gemappt Laufwierk dout bleift. Dësen Ënnerscheed an der Ofdeckung ass a kengem vun de Modeller e Feeler, awer et ass de Grond, firwat en Een-App-Tunnel esou dacks deen Zoustand erzeugt, datt de VPN leeft an d'Frësch verschwonnen ass.

Resolver schneiden duerch béides. Wann de Client intern DNS-Serveren astellt, awer d'Betriebssystem DNS iwwer HTTPS op en ëffentleche Resolver benotzt, kënnt d'Äntwert vun baussent dem Tunnel an d'Destinatiounsregel passt vläicht ni. Kuckt, wéi en Resolver tatsächlech geäntwert huet, ier Dir schléisst, datt d'Regel falsch ass, a bestätegt op der Client-Säit, ob en den Tunnel-Resolver iwwerhaapt installéiert huet. En Split, deen DNS baussent dem Tunnel léisst, gesäit an der Routentabelle perfekt aus a versot trotzdem op all internem Numm.

Aarbechtswee: wielen, uwenden, iwwerpréiwen

Fänkt bei der Ufuerderung un, net am Menü. Wann d'Zil ass nëmmen dës App däerf den Tunnel benotzen, braucht Dir App-Reegelen an eng Plattform, déi se ënnerstëtzt. Wann d'Zil ass dës Netzwierker si duerch den Tunnel erreechbar, braucht Dir Prefixen. Wann d'Äntwert béides ass, implementéiert se als zwou getrennte Kontrollen an schreift op, wéi eng wéi engem Feeler gehéiert.

Benotzt déi schmuelst Form, déi Dir ausdrécke kënnt, a verifizéiert duerno, andeems Dir d'Routentabelle freet an net d'Statusikone vum Client:

ip route get 10.20.30.40
ip -6 route get 2001:db8:10::40
wg show wg0 allowed-ips
Get-NetRoute -DestinationPrefix 10.20.0.0/16
Find-NetRoute -RemoteIPAddress 10.20.30.40

Déi éischt zwou Zeile nennen d'Interface, déi eng richteg Destinatioun benotze géif; wg show dréckt déi konfiguréiert Prefixlëscht; op Windows äntwert Find-NetRoute op déiselwecht Fro, déi de Stack äntwert, wann de Paket geschéckt gëtt. Wann d'Interface den Tunnel ass, huet d'Regel gepasst.

Test duerno en zweete Paket, deen ausgeschloss soll ginn, vun enger anerer Applikatioun, op déiselwecht Destinatioun. Schreift an den Ticket d'Clientversioun, den Typ vun der Regel, d'Prefix- oder Paketlëscht an déi zwou observéiert Resultater. Genau dës Resultaterpaar seet dem nächsten Ingenieur, ob d'Politik falsch konfiguréiert ass oder den Traffic ni dozou gehéiert huet.