Telefono VPN namo: paverskite ugniasienę savo interneto išėjimu

Telefono prijungimas prie namų tunelio ir LAN failų bendrinimo atidarymas įrodo, kad tunelis veikia. Tai neįrodo, kad telefono interneto užklausos išeina per namus. Skirtumas tarp šių dviejų rezultatų yra persiuntimo politika ir maršrutas, o ne dar vienas žymimasis langelis telefone. Tai ir skirtumas, kurį dauguma mano jau sukonfigūravę.

Trys sprendimai sukuria išėjimo kelią: ką telefonas siunčia į tunelį, kur namų šliuzas jį persiunčia ir kas nutinka, kai tunelio nėra. Kiekvienas turi gedimo režimą, kuris iš telefono ekrano atrodo kaip kiti.

Du šuoliai, dvi politikos

Išorinis ryšys baigiasi namų VPN klausytoje. Vidinis paketas yra atskiras objektas, kurį reikia kažkur persiųsti, o persiuntimas yra kitas ugniasienės sprendimas nei tunelio priėmimas iš pradžių.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Įprastame namų maršrutizatoriuje šie gyvena skirtinguose taisyklių rinkiniuose. Tunelio priėmimas yra įvesties politika VPN sąsajoje; telefono srauto siuntimas į internetą yra persiuntimo politika ir ta šaltinio translacija, kurios reikia uplinkui. Maršrutizatorius, kuris priima tunelį ir nieko nepersiunčia, sukuria telefoną, kuris rodo prisijungusį ir neįkelia nė vieno puslapio.

Jei VPN paslauga veikia atskirame įrenginyje namo viduje, pridėkite šuolį. Dabar maršrutizatorius mato srautą, ateinantį iš to įrenginio, todėl jo taisyklės taikomos serverio adresui, o ne telefono tunelio adresui, ir šaltinio translacija gali kiekvieną telefoną parodyti kaip vieną hostą.

Klausytojas nėra filtras

Nuspręskite, kur vykdoma kontrolė, kol reikiama informacija dar egzistuoja. Maršrutizatoriuje telefono tunelio adresas matomas ir gali būti tiesiogiai suderintas. Už antros translacijos jo nebėra, o taisyklės, parašytos telefono adresui, tyliai nieko neatitinka.

Tai įprasta priežastis, kodėl politika veikia nešiojamajam, bet ne telefonui. Nešiojamasis jungiasi tiesiogiai prie maršrutizatoriaus, telefonas jungiasi prie serverio, kuris persiunčia per maršrutizatorių, ir tik pirmasis kelias išsaugo adresą, kurio tikisi taisyklė. Taisyklė neteisinga ne dėl to; ji derina reikšmę, kurios tame taške nebėra.

Užsirašykite kelią su šaltinio adresu, kaip jis atrodo kiekviename kontrolės taške. Ta viena diagrama išsprendžia daugumą šių atvejų prieš redaguojant bet kurią taisyklę.

Ką telefonas iš tikrųjų turi siųsti

Telefonas, gaunantis tik maršrutą į namų potinklį, siunčia į tunelį tik to potinklio srautą. Viskas kita išeina per mobilųjį tinklą, todėl failų bendrinimas veikia, o interneto užklausos niekada nepasiekia namų.

Viso tunelio aprėptis yra kliento pusės maršrutizavimo sprendimas, ir jis turi būti nustatytas platformos palaikomu mechanizmu, o ne numatytas iš diegiamo profilio. Nustačius jį, maršrutas atgal į patį VPN serverį turi likti už tunelio, kitaip klientas negalės išlaikyti savo transporto.

DNS nusipelno atskiro sprendimo, nes tai dalis, kuri labiausiai linkusi nukrypti nuo likusio srauto. Resolverio adresas profilyje yra pasiūlymas, kurį klientai traktuoja skirtingai, o programa su savo šifruotu resolveriu gali eiti visiškai atskiru keliu. Jei namų politika priklauso nuo to, kad užklausos pasiektų konkretų resolverį, vykdykite ją ten, kur srautas iš tikrųjų praeina, arba sutikite, kad kai kurios užklausos to nepadarys. Užklausa, kuri apeina jūsų resolverį, niekada nepasiekia jai parašytos taisyklės.

IPv6 priklauso tai pačiai pastraipai kaip DNS, o ne priedui. Visas IPv4 tunelis nieko nesako apie AAAA srautą, o telefonas dvigubo steko mobiliajame tinkle mielai naudos tam vietinį kelią. Pasirinkite perdavimą arba blokavimą aiškiai.

Ką ugniasienė gali ir ko negali matyti

Šliuzas gali veikti pagal tai, ką atskleidžia jo kontrolės taškas: adresus, prievadus, protokolą, sąsają ir ryšio metaduomenis. Persiųsta HTTPS užklausa neperduoda puslapio turinio ar slaptažodžio vien todėl, kad kerta namų tunelį.

Šią ribą verta pasakyti, nes frazė „praleiskite tai per ugniasienę“ reiškia daugiau tikrinimo, nei atlieka namų maršrutizatorius. Paskirties taisyklė, DNS politika ir programų lygmens tarpinis serveris yra trys skirtingos kontrolės priemonės su trimis skirtingomis diegimo sąnaudomis.

Nedarykite prielaidos, kad funkcija, sukonfigūruota namų LAN klientams, galioja VPN sąsajai. Zonos narystė yra konfigūracijos pasirinkimas, o VPN sąsaja, kuri nėra teisingoje zonoje, nepaveldi nė vienos iš taisyklių, kurias išbandėte nuo sofos.

Nuspręskite atjungtą būseną

Kai tunelis nepasiekiamas, telefonas arba grįžta prie mobiliojo tinklo, arba atsisako siųsti srautą. Abu variantai pagrįsti, ir tik vienas jų atitinka tai, ką dauguma tiki sukonfigūravę.

Grįžimas yra patogus ir pagal apibrėžimą nuteka: ta akimirka, kai tunelis nukrenta, yra ta akimirka, kai užklausos išeina operatoriaus keliu. Blokavimas yra stipresnis ir padaro telefoną priklausomą nuo to, ar namai pasiekiami, o tai keliautojui yra tikra prieinamumo kaina. Nė vienas elgesys nėra klaida; abu yra produktai, ir jūs renkatės tarp jų, ar tai sakote, ar ne.

Išbandykite pasirinkimą, o ne darykite prielaidą. Sustabdykite namų paslaugą, tada pabandykite vieną užklausą iš telefono naršyklės ir vieną iš fone veikiančios programos. Vėlesnis prisijungimas iš naujo nepanaikina jau išėjusių užklausų.

Užbaikite dviem kontroliuojamais patikrinimais iš paties telefono: viena leidžiama operacija, kuri turėtų kirsti namus, ir vienas atmetimas, kurį namų politika turėtų įvykdyti. Patvirtinkite, kad šliuzas užregistravo lauktą srautą lauktoje adresų šeimoje po prisijungimo iš naujo. Telefonas, rodantis „Prisijungta“, yra to patikrinimo pradžia, niekada pabaiga.