Downstream-Subnetz géint Desktop-VPN: Transit ausschléissen, net d'Appen

Eng Maschinn, zwou Aufgaben, eng Firewall: en Wi-Fi-Uplink, e klengt Ethernet-Subnetz hannendrun an en Desktop-VPN-Client, deen unhëlt, datt alles, wat d'Maschinn verléisst, lokal ass. Lokal gestartete Programmer verloossen iwwer de lokalen Ausgangspad. D'Apparater hannert der Workstation kommen um Ethernet-Port un a brauchen eng Weiderleitungsentscheedung. Eng Ausnam, déi fir den éischte Pad geschriwwe gouf, gesäit den zweete ni, an dofir ëmgeet e Browser den Tunnel, d'Apparater awer net.

Zwee Paketpied, eng Politik

Déi éischt Zeil ass dat, wat déi meescht Split-Tunneling-Guide beschreiwen. Déi zweet ass eng Routerkonfiguratioun, déi zoufälleg op der selwechter Maschinn läit. Se an ee mentalt Modell ze schmëlzen ass de Feeler; si deelen ee Kernel, awer keng Politik. Zeechent béid Pied, ier Dir eng Regel ännert, an de Rescht vum Design ergëtt sech doraus, wéi ee Pad feelt.

D'Tabell erkläert och, firwat eng Maschinn en Test ka bestoen an en aneren net. E Browser op der Workstation beweise de lokale Pad; en Laptop um Ethernet-Port beweise de Weiderleitungspad. Validéiert eng Ännerung mat béiden, soss bleift déi zweet ongetest, egal wéi dacks de Browser nei gelueden gëtt.

Wat eng Applikatiounsausnam eigentlech klasséiert

Eng Ausnam pro Applikatioun funktionéiert meeschtens doduerch, datt Pakete vun engem Prozess oder engem Benotzer markéiert ginn an de markéierte Verkéier dann ausserhalb vum Tunnel geroutet gëtt. Dat ass eng Konstruktioun fir de lokalen Ausgang. E Paket vun engem Apparat ënnersträichs huet kee lokale Prozess, also entsprécht et ni dem Selekter, wéi de Selekter och ass.

Wéi de Selekter och ass, déi zwou Lëschten sinn net déiselwecht Lëscht, an dat ass de ganze Punkt. De Mullvad-Leitfued fir Linux beschreift Markéierungen, déi seng Firewall a seng Routingspolitik verbrauchen, a seng Beispiller zielen op de lokalen Ausgang; si sinn keng ënnerstëtzt Beschreiwung vun engem Downstream-Router. Se kopéieren ergëtt eng Maschinn, déi mengt, si hätt eng Ausnam, wärend si alles an den Tunnel weiderleet.

Schreift den Transitkontrakt

Nennt de Downstream-Quellpräfix an d'Ingress-Interface zesummen, a beschränkt dann dee Präfix um Ingress. Ouni d'Beschränkung kann all Apparat, deen de Port erreecht, eng ausgeschloss Adress behaapten an iwwer de Bypass fortgoen. Behandelt et als zwou Froen: däerfen dës Hosts dësen Uplink iwwerhaapt benotzen, an däerfen si d'Workstation oder d'privat Beräicher vum Tunnel erreechen? Dat si zousätzlech Erlaabnesser, net Niewefollege vun der Wiel vum Uplink.

Erlaabt d'Weiderleitung, a filtert se dann. De Linux-Gateway brauch ageschalt Weiderleitung, Reegelen, déi den ugedachte Verkéier a béid Richtunge erlaben, an entweder eng Réckwee-Route no uewen oder eng bewosst agegrenzt Quellübersetzung. NAT eleng wielt den Uplink net aus a gëtt keen Duerchgang duerch e Filter; et schreift eng Adress eréischt no deenen Entschedungen ëm.

D'Klassifikatioun fir Transit muss virun der Weiderleitungsrouten-Entscheedung geschéien, dat heescht an der prerouting-Stuff an net an output. Eng Regel, déi no der Entscheedung gesat gëtt, kann de Paket nach änneren, awer net, wou e scho geschéckt gouf.

Markéierungen gehéieren zu der Applikatioun, déi se besëtzt

Markéierungswäerter, Tabellennummeren a Ketteprioritéite sinn Deel vun der Politik vun der VPN-Applikatioun, keng zäitlos Konstanen. En dauerhaft Netzwierk, dat dorop hänkt, eng Regel an eng Tabell anzefügen, déi en anert Programm nei generéiert, geet beim nächsten Update futti, meeschtens wärend enger Neiverbindung an net zu enger geléigter Zäit.

Eng zweet Basiskette mat engem accept-Uerteel derbäizesetzen hieft net onbedéngt den drop vun enger spéiderer Kette op. Basiskette hunn Haken a Prioritéiten, an dat éischt Uerteel an der Rei gewënnt; en accept an enger Kette annulléiert keen drop, deen eng aner Kette fir d'éischt erreecht. Kuckt de komplette Reegelsatz a d'Reiefolleg vun der Routingpolitik, net deen eenzege Compteur, dee geklommen ass. E Compteur beweist, datt eng Regel gelaf ass, ni, datt hire Uerteel dee war, deen ugewannt gouf.

Integréieren, oder d'Subnetz verréckelen

Déi zwou Designe ënnerscheeden sech doran, wien de Bypass besëtzt. En integréierten Design hält eng Maschinn an eng Politik, um Präis vun der Ofhängegkeet vum Tabellliewenszyklus vun der VPN-Applikatioun an engem Set vu Markéierungen, déi seng Dokumentatioun ännere kann. En eegene Router fir dat ënnersträicht Netzwierk hieft déi Ofhängegkeet komplett op: d'Subnetz huet säin eegenen Uplink, an d'Workstation bleift e Client ouni Weiderleitungsroll.

Wielt déi zweet, wann dat ënnersträicht Netzwierk duerch VPN-Updates muss weiderlafen, oder wann keen déi integréiert Politik no all Verëffentlechung testen kann. Wielt déi éischt nëmme wann d'Integratioun dokumentéiert ass an een se verantwort.

Verifizéiert d'Grenz a véier Zoustänn: verbonnen, nei verbannen, bewosst gespaart an gestoppt. Kontrolléiert d'Nimmopklärung an déi zwou Adressfamilljen ënner all eenzel, well en ëmgank, deen DNS leckt, net d'Ausnam ass, déi Dir entworf hutt. Den Test soll déi genee Grenz beweisen, net just datt eng Säit gelueden ass.