VPN од телефон дома: направете го firewall-от ваш интернет излез

Поврзувањето на телефон со домашниот тунел и отворањето LAN споделување на датотеки докажува дека тунелот работи. Тоа не докажува дека интернет барањата на телефонот излегуваат низ домот. Разликата помеѓу овие два резултати е политика на пренасочување плус маршрута, а не уште едно поле за избор на телефонот. Тоа е и разликата што повеќето претпоставуваат дека веќе ја конфигурирале.

Три одлуки го создаваат излезниот пат: што телефонот праќа во тунелот, каде домашната порта го пренасочува и што се случува кога тунелот го нема. Секоја има режим на грешка што од екранот на телефонот изгледа како другите.

Два скока, две политики

Надворешната врска завршува кај домашниот VPN слушател. Внатрешниот пакет е посебен објект што треба некаде да се пренасочи, а пренасочувањето е друга firewall одлука од прифаќањето на тунелот на почеток.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

На типичен домашен рутер овие живеат во различни множества правила. Прифаќањето на тунелот е влезна политика на VPN интерфејсот; испраќањето на сообраќајот на телефонот на интернет е политика на пренасочување плус она преведување на изворот што му треба на uplink-от. Рутер што го прифаќа тунелот и не пренасочува ништо создава телефон што покажува поврзано и не вчитува ниту една страница.

Ако VPN услугата работи на посебна машина во домот, додадете скок. Сега рутерот гледа сообраќај што доаѓа од таа машина, затоа неговите правила важат за адресата на серверот, а не за тунелската адреса на телефонот, и преведувањето на изворот може секој телефон да го направи да изгледа како еден хост.

Слушателот не е филтер

Решете каде се спроведува контролата додека информацијата што ви треба уште постои. На рутерот тунелската адреса на телефонот е видлива и може директно да се совпадне. Зад второ преведување таа ја нема, а правилата напишани за адресата на телефонот тивко не совпаѓаат со ништо.

Ова е вообичаената причина зошто политика работи за лаптопот, а не за телефонот. Лаптопот се поврзува директно со рутерот, телефонот се поврзува со сервер што пренасочува низ рутерот, и само првиот пат ја зачувува адресата што ја очекува правилото. Правилото не е погрешно; тоа совпаѓа со вредност што во таа точка повеќе не постои.

Запишете го патот со изворната адреса како што се појавува во секоја точка на спроведување. Таа една шема ги решава повеќето од овие случаи пред да се уреди било кое правило.

Што телефонот навистина треба да прати

Телефон што добива само маршрута до домашната подмрежа праќа во тунелот само сообраќајот на таа подмрежа. Останатото излегува преку мобилната мрежа, затоа споделувањето датотеки работи, а интернет барањата никогаш не стигнуваат до домот.

Целосната покриеност со тунел е одлука за рутирање на страната на клиентот и мора да се постави со механизмот што платформата го поддржува, а не да се претпостави од профилот што се инсталира. Откако ќе се постави, маршрутата назад кон самиот VPN сервер мора да остане надвор од тунелот, инаку клиентот не може да го одржува сопствениот транспорт.

DNS заслужува своја одлука, бидејќи тоа е делот што најверојатно отстапува од остатокот од сообраќајот. Адресата на резолверот во профилот е предлог што клиентите го третираат различно, а апликација со свој шифриран резолвер може да тргне по целосно одделен пат. Ако домашната политика зависи од тоа барањата да стигнат до одреден резолвер, спроведете ја таму каде сообраќајот навистина поминува, или прифатете дека некои барања нема да го сторат тоа. Барањето што го заобиколува вашиот резолвер никогаш не стигнува до правило напишано за него.

IPv6 припаѓа на истиот пасус како DNS, а не на додаток. Целосен IPv4 тунел не кажува ништо за AAAA сообраќајот, а телефон на мобилна мрежа со двоен стек со задоволство ќе го користи домашниот пат за тоа. Изберете пренос или блокирање експлицитно.

Што може и што не може да види firewall-от

Портата може да дејствува врз она што го открива нејзината точка на спроведување: адреси, порти, протокол, интерфејс и метаподатоци на врската. Пренасочено HTTPS барање не го предава телото на страницата или лозинката само затоа што поминува низ домашниот тунел.

Оваа граница вреди да се каже, затоа што фразата „поминете го низ firewall-от“ подразбира повеќе проверка отколку што прави домашен рутер. Правило за дестинација, DNS политика и прокси на апликациско ниво се три различни контроли со три различни трошоци за распоредување.

Не претпоставувајте дека функција конфигурирана за клиенти на домашната LAN важи и за VPN интерфејсот. Членството во зона е конфигурациски избор, а VPN интерфејс што не е во вистинската зона не наследува ниту едно од правилата што ги тестиравте од софата.

Решете ја исклучената состојба

Кога тунелот не е достапен, телефонот или се враќа на мобилната мрежа или одбива да го прати сообраќајот. И двете се разумни, и само едното од нив одговара на она што повеќето веруваат дека го конфигурирале.

Враќањето е практично и по дефиниција протекува: моментот кога тунелот паѓа е моментот кога барањата излегуваат по патот на операторот. Блокирањето е посилно и го прави телефонот зависен од тоа дали домот е достапен, што е вистински трошок за достапност за некој што патува. Ниту едно од двете однесувања не е дефект; двете се производи, и вие избирате меѓу нив, без разлика дали го кажувате тоа.

Тестирајте го изборот наместо да го претпоставувате. Запрете ја домашната услуга, потоа пробајте едно барање од прелистувачот на телефонот и едно од апликација што работи во позадина. Подоцнежното повторно поврзување не ги поништува барањата што веќе излегле.

Завршете со две контролирани проверки од самиот телефон: една дозволена операција што треба да помине низ домот и едно одбивање што домашната политика треба да го спроведе. Потврдете дека портата го регистрирала очекуваниот тек во очекуваното семејство адреси, по повторно поврзување. Телефон што покажува „Поврзано“ е почетокот на таа проверка, никогаш крајот.