Задржете ги приватните рути и отфрлете го пренасочувањето: поделен OpenVPN тунел

Тунелот се подига, апликацијата се вчитува, а потоа сето друго на лаптопот почнува да се однесува чудно. Тоа е вообичаената форма на политика само за приватни мрежи, спроведена со бришење на една линија. Отстранувањето на турната стандардна рута навистина менува каде оди сообраќајот, но не кажува каде сообраќајот треба да оди наместо тоа и воопшто не ја допира резолуцијата на имиња. Политиката бара две позитивни половини пред да може да се тестира.

Бришењето на пренасочувањето е само половина од промената

Пренасочувањето на целиот тунел и политиката само за приватни мрежи се разликуваат по тоа што тврдат за светот. Пренасочувањето полага право на секое одредиште, додека приватната политика полага право на список и го остава остатокот на мира. Бришењето на тврдењето без пишување на списокот создава клиент што не стигнува никаде надвор од локалната мрежа, што изгледа како рутирачка грешка, а не како празнина во политиката. Напишете го списокот пред да го отстраните тврдењето, и тогаш редоследот на тие два чекора престанува да биде важен.

Двете половини се барања, а не стандардни вредности. Приватните префикси мора да влезат во тунелот, а вообичаените одредишта мора да го задржат патот што го имале пред врската.

Ако организацијата пропишува целосен тунел, ништо од ова не важи. Дизајнот само за приватни мрежи им припаѓа на распоредувањата каде што поделеното рутирање е одобрено.

pull-filter е совпаѓање, а не прекинувач

Директивата pull-filter ги отстранува турнатите опции чии имиња се совпаѓаат со префикс, и тоа е сето што прави. Занемарувањето на пренасочувањето ја остава секоја друга турната опција на место, што обично е она што го сакате: рутите, DNS-поставките и вредноста на рутерскиот портал сето уште пристигнуваат. Таа исто така не може да отстрани директива напишана во локалниот профил, зашто филтрирањето важи за она што го турка серверот.

Спротиставете се на искушението да ја игнорирате секоја опција што почнува со route. Таа шема ги отфрла и приватните рути што и се потребни на врската, и може да загуби информации за порталот од кои зависи тунелот.

route-nopull е поширока одлука отколку што изгледа. Таа го спречува клиентот да ги прифати турнатите рути и опциите од типот на DHCP како група, што е поинаква политика од филтрирање на една опција.

Напишете го списокот на рути од апликацијата кон надвор

Почнете од она што корисникот навистина го отвора, потоа додајте ги потпорните делови. Апликација на 10.60.20.15 подразбира своја подмрежа 10.60.0.0/16, а приватно име подразбира резолвер што одговара на него. Затоа корисникот што побарал една апликација бара две одредишта и една DNS-одлука. Сето надвор од тој список е надвор од опфатот по конструкција, и токму тоа ја држи политиката прегледна.

На сервер што соработува тие стануваат две турнати рути, и ниту една од нив не е пренасочување. Задржете ја топологијата на тунелот и вредностите на рутерскиот портал што ги дава постојната услуга.

Кога само некои корисници ја бараат оваа политика, применете ја по клиент или по група. Менувањето на рутирањето на сите за да се исправи барањето на еден тим е начинот на кој поделениот тунел станува прекин.

Нека DNS го следи истиот пат

Рутата до резолверот не е политика на резолверот. На клиент со systemd-resolved семантичкиот резултат е домен за рутирање за приватниот именски простор што покажува на внатрешниот резолвер, и токму тоа прави само тие имиња да го користат. Клиентот на Windows наместо тоа бара сопствен механизам за политика на именски простори. Редот со DNS-сервер во профилот не инсталира ниту едно од двете само по себе.

Проверете што избрал оперативниот систем, а не што побарал профилот. На Linux resolvectl status ги покажува доменот и серверот по врска; на Windows табелата со политика на именски простори е еквивалентен доказ.

Држете го резолверот достапен низ тунелот, инаку политиката покажува на адреса што не може да се праша. Адреса на резолвер до која тунелот не стигнува ја претвора политиката што работи во истек на време.

Проверете ги двете половини при повторно поврзување

Поврзете го клиентот повторно по промената и проверете ја ефективната рута до приватна и до јавна адреса. Потоа разрешете приватно име и јавно име и потврдете дека секое го користело предвидениот резолвер. Вчитувањето на јавна веб-страница докажува само втората половина, и токму таа половина обично работи случајно.

Запишете ја готовата политика во една реченица: овие префикси и имиња ја користат оваа врска, сето друго го следи локалниот пат. Потоа држете ја во профилот, наместо да ги поправате поставките на адаптерот по секое најавување.