D'Split-Tunnel-Dokumentatioun brauch eng DNS-Regel nieft all Route
Eng Route entscheet no Adress, en Resolver entscheet nom Numm. Dokumentéiert béid Selektoren pro Floss, jiddereen mat engem Test, soss fällt d'Notiz, wann DNS sech réckelt.
Eng Split-Tunnel-Notiz déi seet "d'Bürotrafic geet duerch d'VPN" huet eng Entscheedung dokumentéiert an dräi aner implizéiert. Op der Paketschicht wielt eng Routingstabell eng Schnittstell no der Ziladress; op der Nummenschicht wielt en Resolver e Server no der Ufro, an déi zwou Wahlen gi onofhängeg getraff. Dofir kann en korrekt dokumentéierte Prefix nach ëmmer eng Maschinn produzéieren déi en internen Numm zu enger ëffentlecher Adress opléist, oder näischt opléist wärend d'Route perfekt ausgesäit.
Zwee Selektoren, eng Verbindungssprouf
Wann eng Applikatioun sech mat files.corp.example verbënnt, geschéien zwou Sichen éier et e Pak gëtt. De Resolver entscheet wéi e Server d'Ufro kritt, mat Sichdomänen, Routingdomänen pro Verbindung oder enger expliziter Profilregel. D'Routingstabell entscheet dann wou d'Adress déi entsteet higeet, mat der längster Prefixübereestëmmung mam Zil.
Näischt verbënnt déi zwou Entscheedungen. Eng privat Zon kann mat 10.20.4.11 äntweren, wärend d'Routingstabell 10.20.0.0/16 an den Tunnel schéckt, an d'Verbindung funktionéiert. Dréit ee vun deenen zwee ëm an et fällt op eng Manéier déi wéi dat anert ausgesäit: eng richteg DNS-Politik plus eng feelend Route gëtt en opgeléisten Numm an en Timeout, wärend eng richteg Route plus en ëffentleche Resolver eng Adress gëtt déi propper op déi falsch Plaz geroutet gëtt.
Split-Horizon-DNS mécht dat méi schaarf. Dee selwechten Numm kann eng privat Adress vum internen Resolver an eng ëffentlech Adress vum internetzougedréiten zréckginn, dofir kann eng Notiz déi just de Prefix festhält net viraussoen wéi eng Adress de Client tatsächlech benotzt. Schreift de Resolverwee op, soss ass d'Adress eng Vermutung.
Wat eng Notiz just iwwer d'Route ausléisst
En Aschreiwung just iwwer d'Route ass onbrauchbar fir de heefegsten Split-Tunnel-Feeler: Nimm. De Benotzer mellt datt den Intranet net lued, den Tunnel steet an de Prefix ass do. Wien den Ticket hëlt huet keng Aschreiwung wéi e Resolver hätt misse äntweren, keng Manéier e falsche Sichsuffix vun engem gespaarte Server z'ënnerscheeden, an keng Basislinie fir ze vergläichen.
Déi zweet Ausloossung ass d'Ausnamelëscht. En Split-Tunnel-Design gëtt esou vill duerch dat definéiert wat baussent dem Tunnel bleift wéi duerch dat wat erakënnt, an déi ausgeschloss Beräicher si meeschtens déi déi éischt briechen, well eng méi spezifesch lokal Route oder e Filter op der Client-Säit d'Absicht iwwerschreiwe kann ouni de Profil ze beréieren.
Déi drëtt ass déi wäit Säit vum Tunnel. Eng Client-Route setzt de Pak just op de Kabel; de Gateway muss en nach ëmmer viruleeden an e Wee zréck hunn. Dem strongSwan seng Uleedung fir Viruleeden erënnert drun datt Viruleed- a Firewall-Reegelen um Gateway Deel vun der Funktioun sinn, net Deel vun der Installatioun déi ee ka virleeen.
D'Felder déi d'Notiz ausféierbar maachen
Eng Zeil pro Floss, an e Floss ass en Zil plus en Numm plus en Eegentemer. Dëst sinn d'Felder déi de Kontakt mat engem echte Virfall iwwerliewen:
| Field | Why it has to be written down |
|---|---|
| Destination prefix and address family | The route is per family; an IPv4 note says nothing about a AAAA answer |
| Selected tunnel or direct path | Names the decision, not the symptom |
| Private namespace and resolver | Which domain, which server, which search suffix |
| Public name path | Confirms public names do not accidentally use the private resolver |
| Where the rule lives | Client profile, server push, OS policy or management tool |
| Owner and review date | Namespaces change owner more often than routes change |
D'Zeil "wou et wunnt" ass déi déi d'Leit iwwersprangen. En Prefix dee vum Server gedréckt gëtt, eng Route déi vun engem Clientprofil bäigefüügt gëtt an eng Route déi an enger Shell getippt gëtt ënnerscheede sech doran wien se ännere kann an ob se eng Neiverbindung iwwerliewen. Ouni dat Feld kann den nächsten Ingenieur net soen wéi eng vun den dräi hien ugeet.
Een Test pro Regel, net een pro Tunnel
All Zeil brauch zwou harmlos Kontrollen: eng déi d'Route üübt an eng déi den Numm üübt. Fir d'Route frot eppes wat den Tunnel muss iwwerqueren a bestätegt de Wee amplaz vun der Erreechbarkeet, zum Beispill tracert -d 10.20.4.11 op Windows oder ip route get 10.20.4.11 op Linux. Fir den Numm frot den privaten Numm a schreift a wien e Server geäntwert huet, mat resolvectl query files.corp.example oder dig files.corp.example géint de Resolver deen d'Notiz nennt.
Setzt och eng negativ Erwaardung derbäi: wat soll geschéien wann den Tunnel erof ass. Eng ausgeschloss Applikatioun op engem Android- oder iOS-Apparat mat Blockéierung ouni VPN aktivéiert huet vläicht guer keng Verbindung, an e Desktop-Client kann déiselwecht App lafe loossen wärend den Tunnel sech nei verbënnt. D'intendéiert Äntwert aschreiwen mécht aus "d'VPN huet meng App futti gemaach" eng iwwerpréifbar Ausso.
Halt d'Aschreiwung bei der Konfiguratioun
Luegt d'Notiz niewt dem Profil dat se beschreift a versiounéiert se mat deem Profil. En Dokument an enger Wiki deen keen aktualiséiert ass e Gerücht; eng Tabell am selwechte Repository wéi déi gedréckt Routen an d'Resolver-Politik ka mat der selwechter Ännerung iwwerpréift ginn.
Wann eppes briecht, vergläicht déi ugewenn Route an den effektiven Resolver mat der Aschreiwung éier Dir eng aner Ausnam bäisetzt. Zwee vun den dräi heefege Ursaachen — eng al Nummraumregel an en Hëllefsprozess baussent der App-Politik — gesinn genee wéi e VPN-Feeler aus a si onsiichtbar wann d'Notiz just Prefixe aushält.
Éier Dir d'Notiz fäerdeg nennt, bestätegt datt se dëst schrëftlech beäntwert: wéi e Prefix, fir wéi eng Adressfamill; wéi en private Nummraum, vun wéi engem Resolver beäntwert; wéi eng Nimm bewosst ëffentlech bleiwen; wou all Regel konfiguréiert ass a wien se besëtzt; an deen een Kommando dee d'Route beweist an deen deen den Numm beweist. Wann eppes dovu feelt, gëtt de nächsten Virfall vun Null un diagnostizéiert.