Saglabājiet privātos maršrutus un atmetiet pārvirzīšanu: OpenVPN sadalīts tunelis
Tunelim tikai privātiem tīkliem vajag divus noteikumus: privātie prefiksi iet caur to, parastā pārlūkošana saglabā savu vietējo ceļu. Noklusējuma maršruta dzēšana nav politika.
Tunelis paceļas, lietotne ielādējas, un tad viss pārējais klēpjdatorā sāk uzvesties dīvaini. Tas ir ierastais veids, kā izskatās politika tikai privātiem tīkliem, kas ieviesta, izdzēšot vienu rindu. Noņemt iespiestu noklusējuma maršrutu tiešām maina to, kur iet trafiks, bet tas nepasaka, kur trafikam tā vietā būtu jāiet, un vispār neaizskar nosaukumu atrisināšanu. Politikai vajag divas pozitīvas puses, pirms to var pārbaudīt.
Pārvirzīšanas dzēšana ir tikai puse no izmaiņām
Visu tuneļa pārvirzīšana un politika tikai privātiem tīkliem atšķiras ar to, ko tās apgalvo par pasauli. Pārvirzīšana pretendē uz katru galamērķi, bet privātā politika pretendē uz sarakstu un pārējo atstāj mierā. Dzēst apgalvojumu, neuzrakstot sarakstu, rada klientu, kas ārpus vietējā tīkla nekur nenokļūst, un tas izskatās pēc maršrutēšanas kļūmes, nevis pēc politikas robiem. Uzrakstiet sarakstu, pirms noņemat apgalvojumu, un tad šo divu soļu secībai vairs nav nozīmes.
Abas puses ir prasības, nevis noklusējumi. Privātajiem prefiksiem jāiekļūst tunelī, un parastajiem galamērķiem jāsaglabā ceļš, kāds tiem bija pirms savienojuma.
Ja organizācija pieprasa visu tuneli, nekas no šī neattiecas. Tikai privātais dizains pieder izvietojumiem, kuros sadalītā maršrutēšana ir apstiprināta.
pull-filter ir atbilstība, nevis slēdzis
Direktīva pull-filter noņem iespiestās opcijas, kuru nosaukumi atbilst prefiksam, un tas ir viss, ko tā dara. Pārvirzīšanas ignorēšana atstāj katru citu iespiesto opciju savā vietā, un tas parasti ir tas, ko vēlaties: maršruti, DNS iestatījumi un maršruta vārtejas vērtība joprojām pienāk. Tā arī nevar noņemt direktīvu, kas rakstīta vietējā profilā, jo filtrēšana attiecas uz to, ko serveris iespiež.
Pretojieties kārdinājumam ignorēt katru opciju, kas sākas ar route. Šis modelis arī izmet privātos maršrutus, kas savienojumam vajadzīgi, un tas var pazaudēt vārtejas informāciju, no kuras tunelis ir atkarīgs.
route-nopull ir plašāks lēmums, nekā izskatās. Tas neļauj klientam pieņemt iespiestos maršrutus un DHCP stila opcijas kā grupu, un tā ir cita politika nekā vienas opcijas izfiltrēšana.
Uzrakstiet maršrutu sarakstu no lietotnes uz āru
Sāciet ar to, ko lietotājs patiešām atver, tad pievienojiet atbalsta daļas. Lietotne adresē 10.60.20.15 nozīmē savu apakštīklu 10.60.0.0/16, un privāts nosaukums nozīmē atrisinātāju, kas uz to atbild. Tāpēc lietotājam, kas pieprasīja vienu lietotni, vajag divus galamērķus un vienu DNS lēmumu. Viss aiz šī saraksta pēc uzbūves ir ārpus tvēruma, un tieši tas notur politiku pārskatāmu.
Uz sadarbojoša servera tie kļūst par diviem iespiestiem maršrutiem, un neviens no tiem nav pārvirzīšana. Saglabājiet tuneļa topoloģiju un maršruta vārtejas vērtības, ko nodrošina esošais pakalpojums.
Kad šī politika vajadzīga tikai dažiem lietotājiem, piemērojiet to katram klientam vai grupai. Mainīt visu maršrutēšanu, lai izlabotu vienas komandas prasību, ir veids, kā sadalīts tunelis kļūst par pārtraukumu.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
Ļaujiet DNS iet to pašu ceļu
Maršruts uz atrisinātāju nav atrisinātāja politika. systemd-resolved klientā semantiskais rezultāts ir privātās nosaukumu telpas maršrutēšanas domēns, kas norāda uz iekšējo atrisinātāju, un tieši tāpēc tikai šie nosaukumi to izmanto. Windows klientam tā vietā vajag savu nosaukumu telpas politikas mehānismu. DNS servera rinda profilā pati par sevi neinstalē nevienu no tiem.
Pārbaudiet, ko izvēlējusies operētājsistēma, nevis ko pieprasījis profils. Linux sistēmā resolvectl status rāda domēnu un serveri katrai saitei; Windows sistēmā nosaukumu telpas politikas tabula ir līdzvērtīgs pierādījums.
Turiet atrisinātāju sasniedzamu caur tuneli, citādi politika norāda uz adresi, kuru nevar apjautāt. Atrisinātāja adrese, kuru tunelis nesasniedz, pārvērš strādājošu politiku taimautā.
Pārbaudiet abas puses atkārtotā savienojumā
Pēc izmaiņām atkārtoti pievienojiet klientu un apskatiet efektīvo maršrutu uz privātu un uz publisku adresi. Tad atrisiniet privātu nosaukumu un publisku nosaukumu un apstipriniet, ka katrs izmantoja paredzēto atrisinātāju. Publiskas vietnes ielāde pierāda tikai otro pusi, un tieši šī puse parasti darbojas nejauši.
Pierakstiet gatavo politiku vienā teikumā: šie prefiksi un nosaukumi izmanto šo savienojumu, viss pārējais seko vietējam ceļam. Tad turiet to profilā, nevis labojiet adaptera iestatījumus pēc katras pieteikšanās.