Tālruņa VPN uz mājām: padariet ugunsmūri par savu interneta izeju

Tālruņa pievienošana mājas tunelim un LAN failu koplietošanas atvēršana pierāda, ka tunelis darbojas. Tas nepierāda, ka tālruņa interneta pieprasījumi iziet caur māju. Atšķirība starp šiem diviem rezultātiem ir pāradresācijas politika plus maršruts, nevis vēl viena izvēles rūtiņa tālrunī. Tā ir arī atšķirība, ko lielākā daļa uzskata jau esam konfigurējuši.

Trīs lēmumi veido izejas ceļu: ko tālrunis sūta tunelī, kur mājas vārteja to pāradresē un kas notiek, kad tuneļa nav. Katram ir atteices režīms, kas no tālruņa ekrāna izskatās kā pārējie.

Divi lēcieni, divas politikas

Ārējais savienojums beidzas mājas VPN klausītājā. Iekšējais pakets ir atsevišķs objekts, kas kaut kur jāpāradresē, un pāradresācija ir cits ugunsmūra lēmums nekā tuneļa pieņemšana sākotnēji.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Parastā mājas maršrutētājā šie dzīvo dažādos noteikumu kopumos. Tuneļa pieņemšana ir ievades politika VPN saskarnē; tālruņa trafika sūtīšana uz internetu ir pāradresācijas politika plus tā avota tulkošana, kas nepieciešama uplinkam. Maršrutētājs, kas pieņem tuneli un neko nepāradresē, rada tālruni, kas rāda savienotu un neielādē nevienu lapu.

Ja VPN pakalpojums darbojas atsevišķā iekārtā mājas iekšienē, pievienojiet lēcienu. Tagad maršrutētājs redz trafiku, kas nāk no šīs iekārtas, tāpēc tā noteikumi attiecas uz servera adresi, nevis uz tālruņa tuneļa adresi, un avota tulkošana var likt katram tālrunim izskatīties kā vienam resursdatoram.

Klausītājs nav filtrs

Izlemiet, kur notiek izpilde, kamēr nepieciešamā informācija vēl pastāv. Maršrutētājā tālruņa tuneļa adrese ir redzama un to var tieši saskaņot. Aiz otrās tulkošanas tā ir pazudusi, un noteikumi, kas rakstīti tālruņa adresei, klusi neatbilst nekam.

Tas ir parastais iemesls, kāpēc politika darbojas klēpjdatoram, bet ne tālrunim. Klēpjdators pievienojas maršrutētājam tieši, tālrunis pievienojas serverim, kas pāradresē caur maršrutētāju, un tikai pirmais ceļš saglabā adresi, ko noteikums gaida. Noteikums nav nepareizs; tas saskaņo vērtību, kas šajā punktā vairs neeksistē.

Pierakstiet ceļu ar avota adresi tādu, kāda tā parādās katrā izpildes punktā. Šī viena diagramma atrisina lielāko daļu šo gadījumu pirms jebkura noteikuma rediģēšanas.

Kas tālrunim patiešām jāsūta

Tālrunis, kas saņem tikai maršrutu uz mājas apakštīklu, sūta tunelī tikai šī apakštīkla trafiku. Viss pārējais iziet caur mobilo tīklu, tāpēc failu koplietošana darbojas un interneta pieprasījumi nekad nesasniedz māju.

Pilna tuneļa pārklājums ir klienta puses maršrutēšanas lēmums, un tas jāiestata ar platformas atbalstīto mehānismu, nevis jāpieņem no instalējamā profila. Kad tas ir iestatīts, maršrutam atpakaļ uz pašu VPN serveri jāpaliek ārpus tuneļa, citādi klients nevar uzturēt savu transportu.

DNS ir pelnījis savu lēmumu, jo tā ir daļa, kas visbiežāk atšķiras no pārējā trafika. Atrisinātāja adrese profilā ir ieteikums, ko klienti apstrādā atšķirīgi, un lietotne ar savu šifrēto atrisinātāju var iet pilnīgi atsevišķu ceļu. Ja mājas politika ir atkarīga no tā, vai pieprasījumi sasniedz konkrētu atrisinātāju, izpildiet to tur, kur trafiks patiešām iet, vai pieņemiet, ka daži pieprasījumi to nedarīs. Pieprasījums, kas apiet jūsu atrisinātāju, nekad nesasniedz tam rakstītu noteikumu.

IPv6 pieder pie tās pašas rindkopas kā DNS, nevis pielikumā. Pilns IPv4 tunelis neko nepasaka par AAAA trafiku, un tālrunis ar divkāršu steku mobilajā tīklā labprāt tam izmantos vietējo ceļu. Izvēlieties pārnēsāšanu vai bloķēšanu skaidri.

Ko ugunsmūris var un ko nevar redzēt

Vārteja var darboties ar to, ko atklāj tās izpildes punkts: adreses, portus, protokolu, saskarni un savienojuma metadatus. Pāradresēts HTTPS pieprasījums nenodod lapas pamattekstu vai paroli tikai tāpēc, ka tas šķērso mājas tuneli.

Šo robežu ir vērts nosaukt, jo frāze «laidiet to caur ugunsmūri» nozīmē vairāk pārbaudes, nekā veic mājas maršrutētājs. Galamērķa noteikums, DNS politika un lietotņu līmeņa starpniekserveris ir trīs dažādas kontroles ar trim dažādām ieviešanas izmaksām.

Nepieņemiet, ka funkcija, kas konfigurēta mājas LAN klientiem, attiecas uz VPN saskarni. Zonas dalība ir konfigurācijas izvēle, un VPN saskarne, kas nav pareizajā zonā, nemanto nevienu no noteikumiem, ko pārbaudījāt no dīvāna.

Izlemiet atvienoto stāvokli

Kad tunelis nav pieejams, tālrunis vai nu atgriežas pie mobilā tīkla, vai atsakās sūtīt trafiku. Abi ir saprātīgi, un tikai viens no tiem atbilst tam, ko lielākā daļa tic esam konfigurējuši.

Atgriešanās ir ērta un pēc definīcijas noplūst: brīdis, kad tunelis krīt, ir brīdis, kad pieprasījumi iziet operatora ceļā. Bloķēšana ir spēcīgāka un padara tālruni atkarīgu no tā, vai māja ir sasniedzama, kas ceļotājam ir reālas pieejamības izmaksas. Neviens uzvedības veids nav kļūda; abi ir produkti, un jūs starp tiem izvēlaties, vai to sakāt vai nē.

Pārbaudiet izvēli, nevis pieņemiet to. Apturiet mājas pakalpojumu, pēc tam izmēģiniet vienu pieprasījumu no tālruņa pārlūka un vienu no lietotnes, kas darbojas fonā. Vēlāka atkārtota savienošanās neatceļ pieprasījumus, kas jau ir izgājuši.

Pabeidziet ar divām kontrolētām pārbaudēm no paša tālruņa: viena atļauta darbība, kurai jāšķērso māja, un viens atteikums, kas mājas politikai jāizpilda. Apstipriniet, ka vārteja reģistrēja gaidīto plūsmu gaidītajā adrešu saimē pēc atkārtotas savienošanās. Tālrunis, kas rāda «Savienots», ir šīs pārbaudes sākums, nekad beigas.