VPN-Regele um Router: Quell an Destinatioun passen

Router-Shopping-Säiten weisen VPN-Routing als eng eenzeg Këscht, an dës Formuléierung verstoppt dräi verschidde Froen. Passt d’Reegel zum Gerät, deen den Traffic schéckt, zum Server, deen en empfängt, oder zu béidem? Wat geschitt mat Traffic, deen zu kengem vun deenen zwee passt? An wann zwou Reegele sech iwwerschneiden, wien gewënnt? D’Äntwert als Paar aus Quell an Destinatioun opzeschreiwen mécht aus enger vag Reegellëscht e testbaren Design.

Den Numm vun der Funktioun verstoppt zwou Enner

E Mediasspiller, deen den Tunnel soll benotzen, ass eng Quell-Iwwereneestëmmung. E private Büro-Prefix, dee soll duerch den Tunnel erreechbar sinn, ass eng Destinatiouns-Iwwereneestëmmung. Eng Aarbechtsplaz, déi den Tunnel nëmme fir eng eenzeg Servicer soll benotzen, ass béides, an déi Schnëttfläch ass de Fall, deen déi meescht Konsumente-Firmware schlecht behandelt.

Schreift d’Ufuerderung als Paar op, ier Dir Produkter vergläicht. Dat Paar ass dat, wat Dir spéider testen.

E Produkt mat enger Gerätelëscht oder enger globaler Destinatiounslëscht kann „nëmmen dëst Gerät, nëmmen dës Destinatiounen“ vläicht net ausdrécken. Den Abstand ass net kosmetesch: Eng global Destinatiounsreegel schéckt den Traffic vun all Gerät op dës Säit duerch den Tunnel, an eng Gerätsregel schéckt den ganzen Traffic vun deem Gerät. Keng vun deenen zwee ass d’Ufuerderung. Teste dëse Fall mat zwee Geräter, ier Dir dem Écran vertraut.

Baut d’Reegel als Schnëttfläch

Eng Tabell hält den Design éierlech. Setzt de Szenario lénks, dann nennt d’Iwwereneestëmmung vum Sender an déi vum Zil getrennt:

Déi drëtt Zeil ass déi interessant, well se béid Hälfte gläichzäiteg brauch. Wann d’Firmware nëmmen eng Achs ausdrécke kann, muss d’Ufuerderung an zwou Reegele gedeelt oder op e Gerät verluecht ginn, dat et kann.

Hält d’Identitéit vun der Quell stabil. Eng DHCP-Reservatioun, en eegene Segment oder en Gerät-Identitéitsmechanismus funktionnéieren alleguer, awer eng Adress, déi sech no Oflaf vum Lease ännert, funktionnéiert net. Huelt IPv6 mat, well eng IPv4-Adress net den ganzen Traffic vun engem Gerät identifizéiert.

D’Prioritéit entscheet d’Iwwerschneidung

Iwwerschneidend Reegele sinn normal. Eng breet Gerätsregel an eng enk Destinatiounsreegel kënnen deeselwechte Floss beschreiwen, an déi dokumentéiert Prioritéitsuerdnung entscheet, wien gewënnt. En attraktiven Astellungsécran verréit Iech déi Uerdnung net.

Liest d’Handbuch fir d’Uerdnung an de Fall ouni Iwwereneestëmmung, an test dann béid mat Traffic, deen Dir observéiere kënnt:

ip rule show
ip route get 203.0.113.10

Wann d’Dokumentatioun d’Uerdnung net ugëtt, huelt un, datt déi méi enk Reegel vläicht net gewënnt, a designe mat deem am Kapp. Zwou Reegele, déi net a Konflikt kënne geroden, si méi einfach ze ënnerstëtzen wéi eng intelligent Reegel mat ondokumentéierter Virrang.

Nimm brauchen eng Aktualiséierungsrichtlinn

Eng Destinatioun, déi als Domain geschriwwe gëtt, bréngt e Maintenance-Problem. Den Router muss se opléisen, d’Mapping aktualiséieren, verschidden Adressen an Ënnerdomaine behandelen an de mat Applikatiouns-DNS ëmgoen, deen den erwaarten Resolver ëmgeet.

Eenzel Resultat vun enger Sich an eng IP-Reegel kopéieren ass eng Momentsopnam, keng Domain-Richtlinn.

Entscheet, wéi al eng Äntwert däerf sinn, ier d’Reegel falsch ass, a wat den Router mécht, wann d’Opléisung feelt. Eng Reegel, déi déi lescht bekannt Adress hält, kann eng Servicemigratioun iwwerliewe; eng Reegel, déi den Aschreiwung verwërft, kann d’Tunnelléierung stëll stoppen. Béid Verhalen sinn akzeptabel, wa se nieft der Reegel opgeschriwwe sinn.

Definéiert den net verfügbare Staat

Eng Route-Präferenz forcéiert keen nëmmen-VPN-Traffic. Wann den Tunnel erof ass, kann den Router de Floss blockéieren, en direkt schécken oder en aneren Tunnel benotzen, an all Choix huet eng aner Feelersignatur.

Entscheet, wéi eng d’Ufuerderung brauch, an iwwerpréift et dann, andeems Dir den Tunnel stoppt an de Floss beobacht:

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10

Traffic, deen um Router selwer entsteet, ass ee getrennte Beräich. DNS-Weiderleedung, Update-Prüfungen a Monitoring kënnen nei Flëss um Router selwer starten, amplaz d’Quell-Iwwerestëmmung vum Gerät ze ierwen. Berécksichtegt dës Flëss ausdrécklech, soss erschéngen se an de Loggen als onerkläert Leck.