Privat Routen halen an d’Ëmleitung fale loossen: OpenVPN opgedeilten Tunnel
En Tunnel just fir privat Netzwierker brauch zwou Reegelen: privat Prefixe ginn duerch, normal Surfen behält säi lokale Wee. Eng Standardroute läschen ass keng Politik.
Den Tunnel geet erop, d’Applikatioun lued, an du fänkt alles anescht um Laptop u sech komesch ze behuelen. Dat ass déi üblech Form vun enger Politik just fir privat Netzwierker, déi duerch d’Läschen vun enger Linn ëmgesat gëtt. Eng gepusht Standardroute ewechhuelen ännert zwar, wou de Verkéier hien geet, awer et seet net, wou de Verkéier amplaz soll higoen, an et beréiert d’Nimmopléisung guer net. Eng Politik brauch zwou positiv Hälften, ier se getest ka ginn.
D’Ëmleitung läschen ass just d’Halschent vun der Ännerung
Eng Ëmleitung vum ganze Tunnel an eng Politik just fir privat Netzwierker ënnerscheede sech doran, wat se iwwer d’Welt behaapten. D’Ëmleitung behaapt all Destinatioun, wärend d’privat Politik eng Lëscht behaapt an de Rescht a Rou léisst. D’Behaaptung läschen ouni d’Lëscht ze schreiwen ergëtt e Client, deen ausserhalb vum LAN näischt erreecht, wat wéi e Routingfehler ausgesäit an net wéi eng Lück an der Politik. Schreift d’Lëscht, ier Dir d’Behaaptung ewechhuelt, an dann spillt d’Reiefolleg vun dësen zwee Schrëtt keng Roll méi.
Béid Hälften sinn Ufuerderungen an net Standardwäerter. Privat Prefixe mussen an den Tunnel eran, an normal Destinatiounen mussen de Wee behalen, deen se virun der Verbindung haten.
Wann eng Organisatioun de ganze Tunnel virschreift, gëllt näischt dovun. Den Design just fir privat Netzwierker gehéiert zu Deployementer, wou opgedeelte Routing approuvéiert ass.
pull-filter ass eng Iwwerenee, keen Schalter
D’Direktiv pull-filter hëlt gepusht Optiounen ewech, deenen hir Nimm op e Prefix passen, an dat ass alles wat se mécht. D’Ëmleitung ignoréieren léisst all aner gepusht Optioun op hirem Platz, wat normalerweis dat ass wat Dir wëllt: Routen, DNS-Astellungen an de Wäert vum Route-Gateway kommen nach ëmmer un. Se kann och keng Direktiv ewechhuelen, déi am lokale Profil steet, well d’Filterung op dat wierkt, wat de Server pusht.
Widderstitt der Versuchung, all Optioun z’ignoréieren, déi mat route ufänkt. Dëst Muster verwërft och déi privat Routen, déi d’Verbindung brauch, an et kann Gateway-Informatiounen verléieren, vun deenen den Tunnel ofhänkt.
route-nopull ass eng méi breet Entscheedung wéi et ausgesäit. Et hält de Client dovun of, gepusht Routen an DHCP-aarteg Optiounen als Grupp unzehuelen, wat eng aner Politik ass wéi eng eenzeg Optioun erauszefilteren.
Schreift d’Routelëscht vun der Applikatioun no baussen
Fänkt domat un, wat de Benotzer tatsächlech opmécht, a setzt dann déi ënnerstëtzend Deeler derbäi. Eng Applikatioun op 10.60.20.15 implizéiert hiert Subnetz 10.60.0.0/16, an en privaten Numm implizéiert den Opléiser, deen drop äntwert. E Benotzer, deen eng eenzeg Applikatioun gefrot huet, brauch dofir zwou Destinatiounen an eng DNS-Entscheedung. Alles iwwer déi Lëscht eraus ass vu Konstruktioun ausserhalb vum Beräich, an dat ass wat d’Politik iwwerpréifbar hält.
Op engem kooperéierende Server ginn dat zwou gepusht Routen, an déi eenzeg dovun ass keng Ëmleitung. Halt d’Tunnel-Topologie an d’Route-Gateway-Wäerter bäi, déi den existente Service liwwert.
Wann nëmmen e puer Benotzer dës Politik brauchen, wend se pro Client oder pro Grupp un. D’Routing vun alle ännere fir d’Ufuerderung vun engem eenzegen Team ze reparéieren ass de Wee, op deem en opgedeilten Tunnel zu engem Ausfall gëtt.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
Loosst DNS dee selwechte Wee huelen
En Wee zum Opléiser ass keng Opléiser-Politik. Op engem systemd-resolved-Client ass d’semantesch Resultat eng Routing-Domän fir de privaten Nummraum, déi op den internen Opléiser weist, an dat ass wat dofir suergt, datt nëmmen déi Nimm en benotzen. E Windows-Client brauch amplaz säin eegene Mechanismus fir Nummraum-Politik. Eng DNS-Server-Linn am Profil installéiert béides net vu sech aus.
Préift, wat d’Betribssystem ausgewielt huet, amplaz wat de Profil gefrot huet. Ënner Linux weist resolvectl status d’Domän an de Server pro Verbindung; ënner Windows ass d’Nummraum-Politikstabell den equivalente Beweis.
Halt den Opléiser duerch den Tunnel erreechbar, soss weist d’Politik op eng Adress, déi net ka gefrot ginn. Eng Opléiser-Adress, déi den Tunnel net erreecht, verwandelt eng funktionéierend Politik an eng Zäitüberschreidung.
Iwwerpréift béid Hälften bei enger Neiverbindung
Verbannt de Client no der Ännerung erëm a kuckt deen effektive Wee op eng privat an op eng ëffentlech Adress. Léist dann en privaten Numm an en ëffentlechen Numm op a bestätegt, datt jiddereen den virgesinn Opléiser benotzt huet. Datt eng ëffentlech Webseit lued, beweist just déi zweet Halschent, an dat ass déi Halschent, déi meeschtens zoufälleg funktionéiert.
Notéiert déi fäerdeg Politik an engem Saz: dës Prefixen an Nimm benotzen dës Verbindung, alles anescht follegt dem lokale Wee. Halt se dann am Profil, amplaz no all Umeldung d’Adapter-Astellungen ze reparéieren.