Telefon-VPN heem: maach d'Firewall zu dengem Internetausgang

En Telefon mam Heemtunnel verbannen an eng LAN-Fileedeelung opmaachen beweist, datt den Tunnel funktionnéiert. Et beweist net, datt d'Internetufroen vum Telefon duerch d'Haus erausginn. Den Ënnerscheed tëschent dësen zwou Resultater ass eng Weiderleeungs-Politik plus eng Route, net nach eng Këscht um Telefon. Et ass och den Ënnerscheed, deen déi meescht Leit unhuelen, schonn ageriicht ze hunn.

Dräi Entscheedunge produzéieren den Ausgangswee: wat den Telefon an den Tunnel schéckt, wou de Heem-Gateway en weiderleet, a wat geschitt, wann den Tunnel net do ass. Jiddwereen huet e Feelmuster, dat vum Telefonsbildschierm aus wéi déi aner ausgesäit.

Zwee Spréng, zwou Politiken

D'bausse Verbindung endet beim Heem-VPN-Lauschterer. De bannenzege Pak ass en eegene Objet, dee misst iergendwou weidergeleet ginn, a Weiderleeung ass eng aner Firewall-Entscheedung wéi den Tunnel iwwerhaapt unzehuelen.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Op engem typeschen Heemrouter liewen dës a verschiddene Reegelsätz. Den Tunnel unzehuelen ass Inputpolitik um VPN-Interface; den Traffic vum Telefon an d'Internet schécken ass Weiderleeungspolitik plus déi Quelltranslatatioun, déi den Uplink brauch. E Router, deen den Tunnel unhëlt an näischt weiderleet, produzéiert en Telefon, deen ugeschloss weist a keng Säit lued.

Wann de VPN-Service op enger separater Maschinn am Haus leeft, füügt e Sprong bäi. Den Router gesäit elo Traffic, dee vun där Maschinn kënnt, dofir gëllen seng Reegelen fir d'Adress vum Server an net fir d'Tunneladress vum Telefon, an d'Quelltranslatatioun kann all Telefon wéi een eenzegen Host ausgesinn.

De Lauschterer ass net de Filter

Entscheet, wou d'Duerchsetzung geschitt, soulaang d'Informatioun, déi Dir braucht, nach existéiert. Um Router ass d'Tunneladress vum Telefon sichtbar a kann direkt verglach ginn. Hannert enger zweeter Translatatioun ass se fort, a Reegelen, déi fir d'Adress vum Telefon geschriwwe goufen, passen op näischt, ouni e Wuert.

Dat ass de gewéinleche Grond, firwat eng Politik fir den Laptop funktionnéiert an net fir den Telefon. Den Laptop verbënnt sech direkt mam Router, den Telefon verbënnt sech mat engem Server, deen duerch de Router weiderleet, an nëmmen deen éischte Wee behält d'Adress, déi d'Reegel erwaart. D'Reegel ass net falsch; se passt op e Wäert, deen op där Plaz net méi existéiert.

Schreift de Wee mat der Quelladress op, wéi se op all Duerchsetzungspunkt ausgesäit. Dat eenzegt Diagramm léist déi meescht vun dëse Fäll, ier eng Reegel geännert gëtt.

Wat den Telefon wierklech muss schécken

En Telefon, deen nëmmen eng Route an d'Heemsubnet kritt, schéckt nëmmen den Traffic vun deem Subnet an den Tunnel. Alles anescht geet iwwer d'Mobilnetzwierk eraus, dofir funktionnéiert d'Fileedeelung an d'Internetufroe erreechen ni d'Haus.

Voll Tunnelofdeckung ass eng Routing-Entscheedung op der Clientsäit, a se muss mam Mechanismus ageriicht ginn, deen d'Plattform ënnerstëtzt, net aus dem Profil ugeholl ginn, dee installéiert gëtt. Soubal se ageriicht ass, muss d'Route zréck zum VPN-Server selwer baussen dem Tunnel bleiwen, soss kann de Client säin eegenen Transport net halen.

DNS verdéngt eng eege Entscheedung, well et deen Deel ass, deen am meeschte vum Rescht vum Traffic ofwäicht. Eng Resolveradress am Profil ass eng Suggestioun, déi Clienten ënnerschiddlech behandelen, an eng Applikatioun mat engem eegenen verschlësselte Resolver kann en ganz separate Wee huelen. Wann d'Heempolitik dovun ofhängt, datt Ufroe bei en bestëmmte Resolver ukommen, setzt se duerch, wou den Traffic wierklech laanscht kënnt, oder akzeptéiert, datt verschidden Ufroe et net maachen. Eng Ufro, déi Ären Resolver ëmgeet, erreecht ni eng Reegel, déi dofir geschriwwe gouf.

IPv6 gehéiert an déiselwecht Paragraphe wéi DNS, net an en Annex. En vollstännegen IPv4-Tunnel seet näischt iwwer AAAA-Traffic, an en Telefon op engem Dual-Stack-Mobilnetzwierk wäert fräiwëlleg dee gebiertege Wee dofir benotzen. Wielt Transport oder Blockéierung explizit.

Wat d'Firewall ka gesinn an wat net

De Gateway kann op dat reagéieren, wat säin Duerchsetzungspunkt offenléit: Adressen, Porten, Protokoll, Interface an d'Metadaten vun der Verbindung. Eng weidergeleet HTTPS-Ufro gëtt net de Säitekierper oder d'Passwuert just well se duerch den Heemtunnel geet.

Déi Grenz ass et wäert ze nennen, well den Ausdrock „leets duerch d'Firewall“ méi Inspektioun implizéiert wéi en Heemrouter mécht. Eng Destinatiounsreegel, eng DNS-Politik an e Proxy op Anwendungsebene si dräi verschidde Kontrollen mat dräi verschiddenen Asazkäschten.

Hält net un, datt eng Funktioun, déi fir Heem-LAN-Clienten ageriicht ass, och fir den VPN-Interface gëllt. Zonememberschaft ass eng Konfiguratiounswiel, an en VPN-Interface, deen net an der richteger Zone ass, äifert keng eenzeg vun de Reegelen, déi Dir vum Sofa aus getest hutt.

Entscheet den ofgetrennten Zoustand

Wann den Tunnel net verfügbar ass, fällt den Telefon buedenops op d'Mobilnetzwierk zréck oder refuséiert den Traffic ze schécken. Béides ass raisonnabel, an nëmmen ee vun hinnen entsprécht deem, wat déi meescht Leit menges, ageriicht ze hunn.

Zréckfall ass bequem a leckt par Definitioun: dee Moment, wou den Tunnel fällt, ass dee Moment, wou d'Ufroe laanscht de Wee vum Bedreiwer erausginn. Blockéierung ass méi staark a mécht den Telefon dovun ofhängeg, datt d'Haus erreechbar ass, wat fir eng Reesend en echte Disponibilitéitskäschte bedeit. Keent vun de zwee Verhalen ass e Feeler; béides si Produiten, an Dir wielt tëschent hinnen, ob Dir et sot oder net.

Test d'Wiel, amplaz se unzehuelen. Stoppt den Heemservice, da probéiert eng Ufro aus dem Browser vum Telefon an eng aus enger Applikatioun, déi am Hannergrond leeft. Sech méi spéit erëm ze verbannen, mécht d'Ufroen, déi schonn erausgaange sinn, net réckgängeg.

Schléisst mat zwou kontrolléierten Iwwerpréiwungen vum Telefon selwer of: eng erlaabt Operatioun, déi duerch d'Haus misst goen, an eng Refusatioun, déi d'Heempolitik soll duerchsetzen. Bestätegt, datt de Gateway de Flux, deen Dir erwaart hutt, an der Adressfamill, déi Dir erwaart hutt, no enger Neiverbindung geloggt huet. En Telefon, deen „Verbonnen“ weist, ass den Ufank vun där Iwwerpréiwung, ni d'Enn.