Išsaugokite privačius maršrutus ir atsisakykite peradresavimo: OpenVPN padalytas tunelis

Tunelis pakyla, programa įkeliama, o paskui visa kita nešiojamajame kompiuteryje pradeda elgtis keistai. Tai įprasta politikos, skirtos tik privatiems tinklams, forma, įgyvendinta ištrynus vieną eilutę. Pašalinus stumiamą numatytąjį maršrutą, iš tiesų pasikeičia, kur eina srautas, bet nepasakoma, kur srautas turėtų eiti vietoj to, ir visiškai neliečiamas vardų sprendimas. Politikai reikia dviejų teigiamų pusių, kad ją būtų galima išbandyti.

Peradresavimo ištrynimas yra tik pusė pakeitimo

Viso tunelio peradresavimas ir politika tik privatiems tinklams skiriasi tuo, ką jie teigia apie pasaulį. Peradresavimas pretenduoja į kiekvieną paskirties vietą, o privati politika pretenduoja į sąrašą ir palieka likusią dalį ramybėje. Ištrynus pretenziją neparašius sąrašo, gaunamas klientas, kuris nieko nepasiekia už vietinio tinklo ribų, o tai atrodo kaip maršrutizavimo gedimas, o ne politikos spraga. Parašykite sąrašą prieš pašalindami pretenziją, ir tų dviejų žingsnių tvarka nustos turėti reikšmės.

Abi pusės yra reikalavimai, o ne numatytosios reikšmės. Privatūs prefiksai turi patekti į tunelį, o įprastos paskirties vietos turi išsaugoti kelią, kurį turėjo prieš prisijungimą.

Jei organizacija reikalauja viso tunelio, niekas iš to netaikoma. Tik privati konstrukcija priklauso diegimams, kuriuose padalytas maršrutizavimas yra patvirtintas.

pull-filter yra atitikimas, o ne jungiklis

Direktyva pull-filter pašalina stumiamas parinktis, kurių pavadinimai atitinka prefiksą, ir tai viskas, ką ji daro. Nepaisant peradresavimo, visos kitos stumiamos parinktys lieka savo vietose, o to paprastai ir norima: maršrutai, DNS nustatymai ir maršruto šliuzo reikšmė vis tiek atkeliauja. Ji taip pat negali pašalinti direktyvos, įrašytos vietiniame profilyje, nes filtravimas taikomas tam, ką stumia serveris.

Atsispirkite pagundai nepaisyti kiekvienos parinkties, prasidedančios route. Šis šablonas taip pat išmeta privačius maršrutus, kurių reikia ryšiui, ir gali numesti šliuzo informaciją, nuo kurios priklauso tunelis.

route-nopull yra platesnis sprendimas, nei atrodo. Jis neleidžia klientui priimti stumiamų maršrutų ir DHCP stiliaus parinkčių kaip grupės, o tai yra kitokia politika nei vienos parinkties filtravimas.

Parašykite maršrutų sąrašą nuo programos į išorę

Pradėkite nuo to, ką vartotojas iš tikrųjų atidaro, tada pridėkite pagalbinius elementus. Programa adresu 10.60.20.15 reiškia savo potinklį 10.60.0.0/16, o privatus vardas reiškia jį atsakantį sprendiklį. Todėl vartotojui, paprašiusiam vienos programos, reikia dviejų paskirties vietų ir vieno DNS sprendimo. Viskas už to sąrašo ribų pagal konstrukciją yra už apimties, ir būtent tai leidžia politiką peržiūrėti.

Bendradarbiaujančiame serveryje tai tampa dviem stumiamais maršrutais, ir nė vienas jų nėra peradresavimas. Išsaugokite tunelio topologiją ir maršruto šliuzo reikšmes, kurias teikia esama paslauga.

Kai šios politikos reikia tik daliai vartotojų, taikykite ją kiekvienam klientui arba grupei. Visų maršrutizavimo keitimas, siekiant ištaisyti vienos komandos poreikį, yra būdas, kuriuo padalytas tunelis tampa sutrikimu.

Leiskite DNS eiti tuo pačiu keliu

Maršrutas iki sprendiklio nėra sprendiklio politika. systemd-resolved kliente semantinis rezultatas yra privataus vardų srities maršrutizavimo domenas, nukreiptas į vidinį sprendiklį, ir būtent tai lemia, kad tik tie vardai jį naudoja. Windows klientui vietoj to reikia savo vardų srities politikos mechanizmo. DNS serverio eilutė profilyje pati savaime neįdiegia nė vieno iš jų.

Tikrinkite, ką pasirinko operacinė sistema, o ne ko prašė profilis. Linux sistemoje resolvectl status rodo domeną ir serverį kiekvienai jungčiai; Windows sistemoje vardų srities politikos lentelė yra lygiavertis įrodymas.

Išlaikykite sprendiklį pasiekiamą per tunelį, kitaip politika nurodo adresą, kurio negalima užklausti. Sprendiklio adresas, kurio tunelis nepasiekia, paverčia veikiančią politiką laiko limitu.

Patikrinkite abi puses iš naujo prisijungę

Po pakeitimo iš naujo prijunkite klientą ir patikrinkite veiksmingą maršrutą į privatų ir į viešą adresą. Tada išspręskite privatų vardą ir viešą vardą ir patvirtinkite, kad kiekvienas naudojo numatytąjį sprendiklį. Tai, kad įkeliama vieša svetainė, įrodo tik antrąją pusę, ir būtent ši pusė paprastai veikia atsitiktinai.

Užrašykite baigtą politiką vienu sakiniu: šie prefiksai ir vardai naudoja šį ryšį, visa kita eina vietiniu keliu. Tada laikykite ją profilyje, o ne taisykite adapterio nustatymus po kiekvieno prisijungimo.