Долното подмрежје наспроти десктоп VPN: исклучете го транзитот, не апликациите

Една машина, две работи, еден firewall: Wi-Fi нагорен канал, мала Ethernet подмрежа зад него и десктоп VPN клиент кој претпоставува дека сѐ што излегува од машината е локално. Локално стартувани апликации излегуваат по локалниот излезен пат. Уредите зад работната станица пристигнуваат на Ethernet портата и бараат одлука за препраќање. Исклучок напишан за првиот пат никогаш не го гледа вториот, и затоа прелистувачот го заобиколува тунелот, а уредите не.

Два патеки на пакети, една политика

Првиот ред е она што го опишуваат повеќето водичи за split-tunneling. Вториот е конфигурација на рутер која случајно живее на истата машина. Нивното спојување во еден ментален модел е грешката; тие делат јадро, но не политика. Нацртајте ги двата пата пред да уредите било кое правило, а остатокот од дизајнот произлегува од тоа кој пат недостасува.

Табелата објаснува и зошто една машина може да помине еден тест, а да падне на друг. Прелистувачот на работната станица го докажува локалниот пат; преносникот вклучен во Ethernet портата го докажува патот на препраќање. Проверете ја секоја промена со двете, инаку вториот останува непроверен, колку и пати да се освежи прелистувачот.

Што всушност класифицира исклучокот на апликација

Исклучокот по апликација обично работи така што означува пакети од процес или корисник, потоа го насочува означениот сообраќај надвор од тунелот. Тоа е конструкција за локален излез. Пакетот од долен уред нема локален процес, па никогаш не се совпаѓа со селекторот, каков и да е селекторот.

Каков и да е селекторот, двете листи не се истата листа, и тоа е целата поента. Водичот на Mullvad за Linux опишува ознаки што ги трошат неговиот firewall и политиката за рутирање, а неговите примери целат на локалниот излез; тие не се поддржан опис на долен рутер. Нивното копирање дава машина која верува дека има исклучок додека сѐ препраќа во тунелот.

Напишете го договорот за транзит

Заедно именувајте го префиксот на долниот извор и влезниот интерфејс, потоа ограничете го тој префикс на влезот. Без ограничувањето, секој уред што ќе стигне до портата може да побара исклучена адреса и да излезе низ заобиколувањето. Третирајте го како две прашања: смеат ли овие домаќини воопшто да го користат овој нагорен канал, и смеат ли да стигнат до работната станица или приватните опсези на тунелот? Тоа се дополнителни дозволи, не нуспојави од изборот на каналот.

Дозволете препраќање, потоа филтрирајте го. Linux порталот бара вклучено препраќање, правила што го дозволуваат предвидениот сообраќај во двете насоки и или нагорен повратен пат или намерно ограничено преведување на изворот. NAT сам не го избира нагорниот канал и не дава премин низ филтер; тој само ја препишува адресата по тие одлуки.

Класификацијата за транзит мора да се случи пред одлуката за пат на препраќање, што значи фаза prerouting, а не output. Правило поставено по одлуката сѐ уште може да го смени пакетот, но не може да смени каде веќе е испратен.

Ознаките им припаѓаат на апликацијата што ги поседува

Вредностите на ознаките, броевите на табелите и приоритетите на синџирите се дел од политиката на VPN апликацијата, не вечни константи. Мрежа што зависи од вметнување правило во табела што друга програма ја создава одново ќе се скрши при следното ажурирање, обично при повторно поврзување, а не во погодно време.

Додавањето втор основен синџир со пресуда accept не мора да го надмине drop на подоцнежен синџир. Основните синџири имаат куки и приоритети, и првата пресуда во редоследот победува; accept во еден синџир не го откажува drop до кој друг синџир стигнува прв. Гледајте го целиот сет правила и редоследот на политиката за рутирање, не едниот бројач што се зголеми. Бројачот докажува дека правило се извршило, никогаш дека неговата пресуда е применетата.

Интегрирајте или преместете ја подмрежата

Двата дизајна се разликуваат по тоа кој го поседува заобиколувањето. Интегрираниот дизајн држи една машина и една политика, по цена на зависност од животниот циклус на табелите на VPN апликацијата и од сет ознаки што неговата документација може да ги смени. Наменски рутер за долната мрежа целосно ја отстранува таа зависност: подмрежата има свој нагорен канал, а работната станица останува клиент без улога на препраќање.

Изберете го вториот кога долната мрежа мора да продолжи да работи низ ажурирањата на VPN, или кога никој не може да ја тестира интегрираната политика по секое издание. Изберете го првиот само кога интеграцијата е документирана и некој одговара за неа.

Проверете ја границата во четири состојби: поврзано, повторно поврзување, намерно блокирано и запрено. Проверете го разрешувањето на имиња и двете семејства адреси во секоја, бидејќи заобиколување што протекува DNS не е исклучокот што сте го дизајнирале. Тестот треба да ја докаже точната граница, не само дека една страница се вчитала.