Wéi Split-Tunneling entscheet, wéi en Trafic d'VPN benotzt

Split-Tunneling ass eng Routingpolitik, ausgedréckt als eng Rei Regelen, an de Client ass just dat, wat se installéiert. D'Trennung geschitt op zwou Plazen: passend Regelen, déi fir all Paket e Wee wielen, a Bindungen, déi eng Applikatioun op engem Interface halen, wat och ëmmer den Tabell seet. Wéi ee Mechanismus Äre Client sech drop stäipt, erkläert déi meescht Iwwerraschungen, déi d'Leit mellen.

Eng Politik, déi Dir an enger Linn formuléiere kënnt, ass testbar. Eng Politik, déi als méi séier Surfen beschriwwe gëtt, ass et net, an si wäert Iech net soen, wéi eng Regel ze änneren, wann eng Ufro de falsche Wee geet.

De Client installéiert Regelen, de Kernel mécht d'Wiel

Wann den Tunnel eropkënnt, füügt de Client Weeër a dacks Politikregelen an dee selwechten Tabell, deen Är aner Interface benotzen. All Paket erreecht da eng Sich, déi seng Destinatioun mat all Kandidatpräfix vergläicht an déi spezifeschst Iwwereneestëmmung behält, während d'Prioritéit Gläichstänn tëscht Regelen entscheet, déi op verschidden Tabellen weisen. Näischt an där Sich weess, datt d'Paket aus engem Browser-Tab an net aus enger Backup-Aarbecht koum. D'Regel, déi gewënnt, ass déi, déi de Wee festleet, an Dir kënnt se virun an no der Ännerung liesen.

Dofir kann en Split-Tunnel wëllkierlech ausgesinn. Zwou Destinatiounen an enger Applikatioun kënnen ënnerschiddlech Weeër huelen, just well ee Präfix méi schmuel ass wéi deen aneren.

Déiselwecht Wiel gëtt et op all Plattform, och wann d'Nimm sech änneren. Windows dréckt d'Entscheedung a seng Filterplattform, Android weist eng Erlaabnislëscht pro App iwwer säin VPN-Service, an macOS befestigt den Tunnel un en Apparat, deen nach ëmmer dem Routingtabell gehorcht. Microsoft seng Routingnotizen sinn d'Liese wäert fir de Windows-Fall, an eng Guide, déi fir eng Plattform geschriwwe gouf, gëtt seelen onverännert op eng aner iwwerdroen.

Bindung pro App an Destinatiounspräfixer sinn ënnerschiddlech Wierkzeuge

Eng Destinatiounspolitik freet, wou d'Paket higeet, a konsultéiert den Routentabell oder eng Politikregel. Eng Politik pro App freet, wéi ee Programm de Socket opgemaach huet, an d'Plattform hält dee Programm um Tunnelsinterface, och wann eng méi spezifesch Route soss enzwousch weist. Déi zweet ass méi staark, well se Tabellenännerungen iwwerlieft, awer se deckt nëmme Prozesser, déi d'Plattform zouordne kann. En Hëllefsprozess, en agebaute Browser oder e Service, deen seng eege Verbindung opmécht, ierft vläicht net d'Bindung, déi Dir ugeholl hutt.

Keen vun deenen zwou Approche iwwerlieft eng nimbaséiert Politik ouni Hëllef. D'Adresse vu grousse Säiten rotéieren tëscht Contente-Netzwierker, dofir produzéiert d'Festpinen vun engem Hostnumm un e puer Präfixer eng Regel, déi stëll ophält ze passen. Eng Politik, déi Nimm muss follegen, brauch eng resolverbewosst Komponent amplaz enger statescher Route.

DNS an den Noutaus-Schalter follegen hire eegene Regelen

Nimmopléisung ass eng Entscheedung getrennt vum Paketrouting, an en Split-Tunnel wëll normalerweis zwee Resolver: dee vun der Firma fir intern Nimm, de lokalen fir alles anescht. De Client kann DNS-Astellungen pro Interface installéieren, Ufroen un en Tëscheresolver ginn oder de Systemstandard onberüert loossen. E Browser mat sengem eegene verschlësselte Resolver ëmgeet all dräi Arrangements. Test eng Sich amplaz unzehuelen, de Resolver wier der Route gefollegt.

En Noutaus-Schalter setzt e Filter drop, an dee Filter ënnerscheet net ëmmer eng gewollt Ausnam vun engem zoufällege Leck. Verschidde Clienten blockéieren alles baussen dem Tunnel, während anerer d'Ausnamen erlaben, déi d'Politik deklaréiert, also liest, wéi ee Verhalen Ären ëmsetzt, ier Dir Iech op eng vun deenen zwou verloosst.

Kontrolléiert d'Trennung vun zwou Säiten

Test de abegraffenen an den ausgeschlossenen Wee getrennt, a beurteelt d'Resultat um Interface-Numm an net un enger ëffentlecher Adress. Dës Kommandoe ginn dovun aus, datt en Linux-Host den Tunnelsapparat nach drop huet. Ersetzt 203.0.113.10 duerch eng Destinatioun, déi Är Politik no banne routet, an 198.51.100.25 duerch eng, déi se no bausse schéckt.

ip route get 203.0.113.10
ip route get 198.51.100.25
resolvectl query intranet.example.com
curl -s --interface tun0 https://example.com -o /dev/null -w '%{http_code}\n'

Liest déi éischt zwou Äntwerten zesummen, well den Interface, deen an all ernimmt gëtt, weist, ob d'Trennung déi Destinatioun op den Tunnel gesat huet. D'Sich am Resolver weist, wéi ee Server deen internen Numm geäntwert huet, an de leschte Kommando beweist, datt den Tunnelsapparat iwwerhaapt eng Ufro ka droen. E Feeler an der zweeter Linn, während déi éischt geléngt, heescht, datt d'Politik genee dat mécht, wat hir gesot gouf.

Widderhëlt de Saz no enger Neiverbindung an no enger Netzwierkännerung. D'Erneierung vum Leasing an d'Bewegung vun den Interface sinn d'Plazen, wou eng Trennung ophält, dem Absicht ze entspriechen, fir dee se gebaut gouf, an en ofgespäicherte Output vun all Laf mécht d'Drift kloer.