VPN правила на рутерот: усогласете го изворот и одредиштето

Страниците за купување рутери прикажуваат VPN рутирање како едно поле за избор, а оваа фраза крие три различни прашања. Дали правилото се совпаѓа со уредот што го испраќа сообраќајот, со серверот што го прима, или со двете? Што се случува со сообраќајот што не се совпаѓа со ниту едно? И кога две правила се преклопуваат, кое победува? Запишувањето на одговорот како пар извор и одредиште го претвора нејасниот список функции во проверлив дизајн.

Името на функцијата крие два краја

Медиумскиот плеер што треба да го користи тунелот е совпаѓање на изворот. Приватниот канцелариски префикс што треба да биде достапен преку тунелот е совпаѓање на одредиштето. Работната станица што треба да го користи тунелот само за една услуга е и двете, а тој пресек е случајот што повеќето потрошувачки фирмвери го справуваат лошо.

Запишете го барањето како пар пред да ги споредите производите. Токму тој пар ќе го проверувате подоцна.

Производ што нуди список на уреди или глобален список на одредишта може да не може да изрази „само овој уред, само овие одредишта“. Разликата не е козметичка: глобалното правило за одредиште го испраќа сообраќајот на секој уред кон таа страница преку тунелот, а правилото за уред го испраќа целиот сообраќај на тој уред. Ниту едното не е барањето. Проверете го тој случај со два уреда пред да му верувате на екранот.

Изградете го правилото како пресек

Табелата го одржува дизајнот чесен. Ставете го сценариото лево, потоа одделно именувајте го совпаѓањето на испраќачот и совпаѓањето на целта:

Третиот ред е интересен, бидејќи му требаат двете половини истовремено. Ако фирмверот може да изрази само една оска, барањето мора да се подели на две правила или да се премести на уред што може тоа.

Одржувајте го идентитетот на изворот стабилен. DHCP резервација, посветен сегмент или механизам за идентитет на уредот работат, но адреса што се менува по истекот на закупот не работи. Вклучете IPv6, бидејќи една IPv4 адреса не го идентификува целиот сообраќај на уредот.

Приоритетот го одлучува преклопувањето

Преклопувањето на правила е нормално. Широко правило за уред и тесно правило за одредиште можат да опишат ист тек, а документираниот редослед на приоритет одлучува кое победува. Привлечен екран за поставки не ви го кажува тој редослед.

Прочитајте го прирачникот за редоследот и за случајот без совпаѓање, потоа проверете ги двете со сообраќај што можете да го набљудувате:

ip rule show
ip route get 203.0.113.10

Ако документацијата не го наведува редоследот, претпоставете дека потесното правило можеби нема да победи и проектирајте со тоа. Две правила што не можат да се судрат полесно се поддржуваат од едно мудро правило со недокументиран приоритет.

Имињата бараат политика за освежување

Одредиште запишано како домен додава проблем со одржувањето. Рутерот мора да го реши, да го освежи мапирањето, да се справи со повеќе адреси и поддомени и да се носи со DNS на апликации што го заобиколува очекуваниот резолвер.

Копирање на еден резултат од пребарување во IP правило е снимка, не доменска политика.

Одлучете колку стар може да биде одговорот пред правилото да биде погрешно и што прави рутерот кога резолуцијата не успева. Правило што ја чува последната позната адреса може да ја надживее миграцијата на услугата; правило што го отфрла записот може тивко да го запре тунелирањето. Двете однесувања се прифатливи ако се запишани до правилото.

Дефинирајте ја состојбата на недостапност

Претпочитањето рута не наметнува сообраќај само преку VPN. Кога тунелот е исклучен, рутерот може да го блокира текот, да го испрати директно или да употреби друг тунел, и секој избор има различен потпис на дефект.

Одлучете кое му е потребно на барањето, потоа проверете го со запирање на тунелот и набљудување на текот:

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10

Сообраќајот што потекнува од самиот рутер е одделен опсег. DNS проследувањето, проверките за ажурирања и мониторингот можат да започнат нови текови од самиот рутер наместо да го наследат совпаѓањето на изворот на уредот. Сметајте на тие текови експлицитно, инаку ќе се појават како необјаснети истекувања во дневниците.