VPN taisyklės maršruto parinktuve: sulyginkite šaltinį ir tikslą
VPN taisyklė maršruto parinktuve turi du galus: įrenginį, kuris siunčia srautą, ir tikslą, kuris turi naudoti tunelį. Pirmiausia nuspręskite sankirtą ir atsarginį elgesį.
Maršruto parinktuvų parduotuvių puslapiai pateikia VPN maršrutizavimą kaip vieną žymės langelį, ir ši frazė slepia tris skirtingus klausimus. Ar taisyklė atitinka įrenginį, kuris siunčia srautą, serverį, kuris jį priima, ar abu? Kas nutinka srautui, kuris neatitinka nė vieno? Ir kai dvi taisyklės persidengia, kuri laimi? Atsakymo užrašymas kaip šaltinio ir tikslo poros paverčia neaiškų funkcijų sąrašą tikrinamu projektu.
Funkcijos pavadinimas slepia du galus
Medijos grotuvas, kuris turi naudoti tunelį, yra šaltinio atitikmuo. Privatus biuro prefiksas, kuris turi būti pasiekiamas per tunelį, yra tikslo atitikmuo. Darbo stotis, kuri turi naudoti tunelį tik vienai paslaugai, yra abu, ir ta sankirta yra atvejis, su kuriuo dauguma vartotojiškos programinės įrangos tvarkosi prastai.
Užrašykite reikalavimą kaip porą prieš lygindami produktus. Šią porą vėliau tikrinsite.
Produktas, siūlantis įrenginių sąrašą arba globalų tikslų sąrašą, gali negalėti išreikšti „tik šis įrenginys, tik šie tikslai“. Skirtumas ne kosmetinis: globali tikslo taisyklė siunčia visų įrenginių srautą į tą svetainę per tunelį, o įrenginio taisyklė siunčia visą to įrenginio srautą. Nė viena nėra reikalavimas. Išbandykite šį atvejį su dviem įrenginiais prieš pasitikėdami ekranu.
Sukurkite taisyklę kaip sankirtą
Lentelė išlaiko projektą sąžiningą. Įdėkite scenarijų kairėje, tada atskirai įvardykite siuntėjo atitikmenį ir tikslo atitikmenį:
| Scenario | Sender match | Target match | Rule shape |
|---|---|---|---|
| Media player uses the tunnel | Player address | Any internet destination except the LAN | Source only |
| Office prefix reachable | Authorized LAN devices | 10.40.0.0/16 | Target only |
| One app on one laptop | Laptop address | The service address set | Source and target |
| Guest network never tunnels | Guest subnet | Any | Deny, evaluated first |
Trečioji eilutė įdomiausia, nes jai reikia abiejų pusių vienu metu. Jei programinė įranga gali išreikšti tik vieną ašį, reikalavimą reikia padalyti į dvi taisykles arba perkelti į įrenginį, kuris tai gali.
Išlaikykite šaltinio tapatybę stabilią. DHCP rezervacija, atskiras segmentas ar įrenginio tapatybės mechanizmas veikia, bet adresas, kuris pasikeičia pasibaigus nuomai, neveikia. Įtraukite IPv6, nes vienas IPv4 adresas neatpažįsta viso įrenginio srauto.
Persidengimą lemia prioritetas
Taisyklių persidengimas yra normalu. Plati įrenginio taisyklė ir siaura tikslo taisyklė gali apibūdinti tą patį srautą, o dokumentuota prioritetų tvarka lemia, kuri laimi. Patrauklus nustatymų ekranas tos tvarkos nepasako.
Perskaitykite vadove apie tvarką ir apie atvejį be atitikmens, tada išbandykite abu su srautu, kurį galite stebėti:
ip rule show
ip route get 203.0.113.10Jei dokumentacija nenurodo tvarkos, manykite, kad siauresnė taisyklė gali nelaimėti, ir projektuokite atsižvelgdami į tai. Dvi taisyklės, kurios negali susikirsti, yra lengviau palaikomos nei viena gudri taisyklė su nedokumentuotu pirmumu.
Pavadinimams reikia atnaujinimo politikos
Tikslas, užrašytas kaip domenas, prideda priežiūros problemą. Maršruto parinktuvas turi jį išspręsti, atnaujinti susiejimą, tvarkyti kelis adresus ir subdomenus bei susidoroti su programų DNS, kuris apeina laukiamą sprendiklį.
Vieno paieškos rezultato nukopijavimas į IP taisyklę yra momentinė nuotrauka, o ne domeno politika.
Nuspręskite, kiek atsakymas gali pasenti, kol taisyklė taps klaidinga, ir ką maršruto parinktuvas daro, kai sprendimas nepavyksta. Taisyklė, kuri išlaiko paskutinį žinomą adresą, gali pergyventi paslaugos migraciją; taisyklė, kuri išmeta įrašą, gali tyliai sustabdyti tuneliavimą. Abu elgesiai priimtini, jei jie užrašyti prie taisyklės.
Apibrėžkite nepasiekiamos būseną
Maršruto nuostata neįpareigoja srauto tik per VPN. Kai tunelis neveikia, maršruto parinktuvas gali blokuoti srautą, siųsti jį tiesiogiai arba naudoti kitą tunelį, ir kiekvienas pasirinkimas turi skirtingą gedimo parašą.
Nuspręskite, kurio reikia reikalavimui, tada patikrinkite sustabdę tunelį ir stebėdami srautą:
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10Srautas, kylantis iš paties maršruto parinktuvo, yra atskira sritis. DNS persiuntimas, atnaujinimų patikros ir stebėjimas gali pradėti naujus srautus iš paties maršruto parinktuvo, o ne paveldėti įrenginio šaltinio atitikmenį. Atsižvelkite į šiuos srautus aiškiai, kitaip jie atsiras žurnaluose kaip nepaaiškinami nutekėjimai.