Tikai iekļaut vai tikai izslēgt sadalīto tuneli: kurš ir noklusējums?
Izvēlieties noklusējumu pirms saraksta veidošanas: tunelī sūtiet tikai to, ko nosaucat, vai sūtiet visu un izgrieziet izņēmumus. Pēc tam pārbaudiet programmu, ko neviens nav iekļāvis sarakstā.
Atveriet VPN klienta maršrutēšanas sadaļu, un jūs redzēsiet divus dažādas formas vadīklas, kurām bieži ir viens un tas pats uzraksts. Viena prasa uzskaitīt galamērķus, kuriem jānonāk tunelī, un viss pārējais turpina izmantot vietējo tīklu. Otra pieņem, ka viss iet caur tuneli, un jautā, kas jāizgriež atpakaļ. Abas pirmajā pārbaudē dod strādājošu tuneli, un abas tiek uzturētas, pievienojot sarakstam rindas, tāpēc atšķirība paliek neredzama, līdz kāds neinstalē ko jaunu.
Tā ir noklusējuma izvēle, nevis funkcija. Izlemiet to, pirms sarakstā ir divdesmit ieraksti.
Noklusējumu lasiet no klienta, nevis no brošūras
WireGuard gadījumā šis lēmums ir neparasti redzams, jo AllowedIPs ir iekļaušanas saraksts un nekas cits. Pāris ar 0.0.0.0/0, ::/0 tunelē visu, bet pāris ar 10.20.0.0/16 tunelē tikai šo tīklu. Izslēgšanas sintakses nav, tāpēc, ja gribat vienu apakštīklu atstāt ārpusē, jums jāuzskaita visi pārējie prefiksi vai jāpievieno politikas maršrutēšana ārpus saskarnes.
OpenVPN to pašu vietu sasniedz no pretējās puses: redirect-gateway def1 izveido pilnu tuneli, bet atsevišķas route direktīvas pievieno vai pārraksta konkrētus prefiksus. Komerciālie klienti parasti abus slēpj aiz izvēles rūtiņas un galamērķu tabulas, tāpēc pirms uzticēties uzrakstam izlasiet, kuru no tiem tabula patiešām labo.
Jautājums nav par to, kā sauc izvēles rūtiņu. Jautājums ir par to, kas notiek ar paketi, kuras galamērķis nav nevienā sarakstā. Atbildiet uz to rakstiski, un pārējā konfigurācija izrietēs pati. Izlaidiet šo jautājumu, un pirmo neizskaidrojamo kļūmi tajā dienā izlems tas, kurš ir vistuvāk klientam.
Sekojiet programmai, ko neviens nav iekļāvis sarakstā
Tikai iekļaušanas shēmā šī programma iet tieši, pa vietējo tīklu un ar vietējo DNS. Tikai izslēgšanas shēmā tā iet caur tuneli tiktāl, cik atļauj serveris, un tieši šeit bieži slēpjas atšķirība starp to, vai jauns SaaS rīks strādās pirmajā dienā, vai parādīsies biļete, ka VPN to salauza.
Neviens noklusējums pats par sevi nav drošāks. Tikai iekļaušanas variants sašaurina to, ko tunelis pārvadā, un padara vietējo tīklu par mazākās pretestības ceļu, bet tikai izslēgšanas variants tuneli uzskata par parasto ceļu un izņēmumus traktē kā izņēmumus, kas ir tuvāk tam, ko lielākā daļa uzņēmumu politiku patiešām domā.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Pievērsiet uzmanību, kāda veida objektus platforma uzskaita
Android VpnService.Builder atļauto programmu sarakstu un aizliegto programmu sarakstu parāda kā divus atsevišķus modeļus, un noteikumi pēc programmas izvēlas pēc pakotnes, nevis pēc galamērķa. Šādā sarakstā ievietota pārlūkprogramma nes sev līdzi katru atvērto galamērķi, un tā ir cita granularitāte nekā maršrutu tabula, tāpēc tā nevar salabot vienu bojātu vietni strādājošā programmā.
Galddatora klienti parasti abus veidus sajauc vienā saskarnē, tāpēc pārbaudiet, vai rinda, ko pievienojat, ir pakotne, resursdatora nosaukums vai prefikss. Tie neizdodas dažādi un tiek risināti dažādās vietās. Nosaukuma rinda parasti kļūst par maršrutu un vārdu, bet pakotnes rinda kļūst par politikas lēmumu klienta iekšienē. Pierakstiet, kuru pievienojāt, jo vēlāk atkļūdojošais cilvēks pieņems, ka bija otrs.
Pārbaudiet kļūmes stāvokli, ne tikai labo ceļu
No tuneļa izslēgta programma automātiski nesaņem tīru tiešu piekļuvi. Ja klients vēl piemēro bloķēšanas bez VPN noteikumu, izslēgtā plūsma var tikt pilnībā nomesta, un tas izskatās pēc salauztas programmas, nevis maršrutēšanas lēmuma. Pārbaudiet šo gadījumu apzināti, nevis atklājiet to no lietotāja ziņojuma.
Pēc tam DNS un IPv6 pārbaudiet kā atsevišķus punktus. Tunelis, kas pārvadā tikai IPv4, programmai ar v6 atbalstu atstāj apkārtceļu, un split DNS izlemj, vai iekšējie nosaukumi atrisinās plūsmai, kas tunelī vispār neiet. Palaidiet sarakstā esošu programmu, sarakstā neesošu programmu, nosaukuma meklēšanu un vienu atkārtotu savienojumu, un rezultātus glabājiet kopā ar konfigurāciju.
Pierakstiet noklusējumu tur, kur to atradīs nākamais cilvēks
Izvēlēto noklusējumu, izņēmumus un to īpašniekus pierakstiet tajā pašā vietā, kur ir klienta profils, jo nākamais administrators pievienos ierakstu, neizlasījis šo pamatojumu. Atzīmējiet datumu un katra izņēmuma iemeslu, lai novecojušu izņēmumu vietnei, kas jau salabota, varētu droši noņemt. Saraksts bez iemesliem aug bezgalīgi.
Kad kāds ziņo par vienu bojātu galamērķi, mainiet izņēmumu, nevis pamatu. Noklusējuma apvēršana vienas vietnes dēļ klusi pārvieto visas sarakstā neesošās programmas uz tunelī otru pusi.