Kā sadalītais tunelis izlemj, kurš trafiks izmanto VPN

Sadalītais tunelis ir maršrutēšanas politika, kas izteikta kā noteikumu kopums, un klients ir tikai tas, kas tos instalē. Atdalīšana notiek divās vietās: saskaņošanas noteikumi, kas izvēlas ceļu katram paketei, un piesaistes, kas notur lietotni vienā saskarnē, lai ko arī teiktu tabula. Tas, uz kuru mehānismu jūsu klients paļaujas, izskaidro lielāko daļu pārsteigumu, par kuriem cilvēki ziņo.

Politiku, ko varat izteikt vienā rindā, var pārbaudīt. Politika, kas aprakstīta kā ātrāka pārlūkošana, tāda nav, un tā nepateiks, kuru noteikumu mainīt, kad pieprasījums aiziet nepareizajā virzienā.

Klients instalē noteikumus, kodols izdara izvēli

Kad tunelis paceļas, klients pievieno maršrutus un bieži politikas noteikumus tai pašai tabulai, ko izmanto jūsu citas saskarnes. Tad katrs pakete nonāk meklēšanā, kas salīdzina tā galamērķi ar katru kandidāta prefiksu un patur visprecīzāko atbilstību, savukārt prioritāte izšķir neizšķirtus starp noteikumiem, kas norāda uz dažādām tabulām. Nekas šajā meklēšanā nezina, ka pakete nāca no pārlūka cilnes, nevis no dublēšanas uzdevuma. Uzvarošais noteikums ir tas, kas nosaka ceļu, un to varat izlasīt pirms un pēc izmaiņām.

Tāpēc sadalītais tunelis var šķist patvaļīgs. Divi galamērķi vienā lietotnē var iet dažādus ceļus tikai tāpēc, ka viens prefikss ir šaurāks par otru.

Tā pati izvēle pastāv katrā platformā, lai gan nosaukumi mainās. Windows iegrūž lēmumu savā filtru platformā, Android caur savu VPN pakalpojumu atklāj atļauto sarakstu katrai programmai, un macOS pievieno tuneli ierīcei, kas joprojām pakļaujas maršrutēšanas tabulai. Microsoft maršrutēšanas piezīmes ir vērtas lasīšanas Windows gadījumā, un vienai platformai rakstīta rokasgrāmata reti tiek pārnesta nemainīta uz citu.

Piesaiste katrai programmai un galamērķa prefiksi ir dažādi rīki

Galamērķa politika jautā, kurp pakete iet, un konsultējas ar maršrutu tabulu vai politikas noteikumu. Politika katrai programmai jautā, kura programma atvēra ligzdu, un platforma notur šo programmu tuneļa saskarnē pat tad, kad konkrētāks maršruts norāda citur. Otrā ir spēcīgāka, jo pārdzīvo tabulas izmaiņas, taču tā aptver tikai tos procesus, kurus platforma var attiecināt. Palīgprocess, iegultais pārlūks vai pakalpojums, kas atver savu savienojumu, var nepārmantot piesaisti, ko pieņēmāt.

Neviena no abām pieejām nepārdzīvo uz vārdiem balstītu politiku bez palīdzības. Lielu vietņu adreses rotē starp satura tīkliem, tāpēc resursdatora vārda piespraušana pie dažiem prefiksiem rada noteikumu, kas klusi pārstāj atbilst. Politikai, kurai jāseko vārdiem, vajadzīga atrisinātāju apzināta komponente, nevis statisks maršruts.

DNS un drošības slēdzis seko saviem noteikumiem

Vārdu atrisināšana ir atsevišķs lēmums no pakešu maršrutēšanas, un sadalītais tunelis parasti vēlas divus atrisinātājus: uzņēmuma iekšējiem vārdiem, vietējo visam pārējam. Klients var instalēt DNS iestatījumus katrai saskarnei, nodot vaicājumus starpniekam atrisinātājam vai atstāt sistēmas noklusējumu neskartu. Pārlūks ar savu šifrēto atrisinātāju apiet visus trīs izkārtojumus. Pārbaudiet vaicājumu, tā vietā lai pieņemtu, ka atrisinātājs sekoja maršrutam.

Drošības slēdzis virsū pievieno filtru, un šis filtrs ne vienmēr atšķir tīšu izslēgumu no nejaušas noplūdes. Daži klienti bloķē visu ārpus tuneļa, kamēr citi pieļauj politikas deklarētos izslēgumus, tāpēc izlasiet, kādu uzvedību īsteno jūsējais, pirms paļaujaties uz kādu no abiem.

Pārbaudiet sadalījumu no abām pusēm

Pārbaudiet iekļauto ceļu un izslēgto ceļu atsevišķi, un novērtējiet rezultātu pēc saskarnes nosaukuma, nevis pēc publiskas adreses. Šie komandu pieņem Linux resursdatoru ar jau paceltu tuneļa ierīci. Aizstājiet 203.0.113.10 ar galamērķi, kuru jūsu politika maršrutē uz iekšu, un 198.51.100.25 ar tādu, kuru tā sūta uz āru.

ip route get 203.0.113.10
ip route get 198.51.100.25
resolvectl query intranet.example.com
curl -s --interface tun0 https://example.com -o /dev/null -w '%{http_code}\n'

Lasiet pirmās divas atbildes kopā, jo katrā nosauktā saskarne parāda, vai sadalījums ievietoja šo galamērķi tunelī. Atrisinātāja vaicājums parāda, kurš serveris atbildēja uz iekšējo vārdu, un pēdējā komanda pierāda, ka tuneļa ierīce vispār var pārvadāt pieprasījumu. Ja pirmā rinda izdodas, bet otrā neizdodas, politika dara tieši to, kas tai likts.

Atkārtojiet kopumu pēc atkārtotas savienošanas un pēc tīkla maiņas. Nomas atjaunošana un saskarņu kustība ir vietas, kur sadalījums pārstāj atbilst nolūkam, kuram tas tika būvēts, un katrai palaišanai saglabātā izvade padara novirzi acīmredzamu.