ഡൗൺസ്ട്രീം സബ്നെറ്റും ഡെസ്ക്ടോപ്പ് VPN-ഉം: ട്രാൻസിറ്റ് ഒഴിവാക്കൂ, ആപ്പുകളല്ല
ഓരോ ആപ്പിനുമുള്ള ബൈപാസ് പ്രാദേശിക ഔട്ട്പുട്ടിനെ മാത്രം വർഗ്ഗീകരിക്കുന്നു. വർക്ക്സ്റ്റേഷന് പിന്നിലെ ഉപകരണങ്ങൾക്ക് സ്വന്തം ഇൻഗ്രെസ്, ഫോർവേഡിംഗ്, റിട്ടേൺ-പാത്ത് നയം വേണം.
ഒരു യന്ത്രം, രണ്ട് ജോലി, ഒരു ഫയർവാൾ: ഒരു Wi-Fi അപ്ലിങ്ക്, അതിന് പിന്നിൽ ചെറിയ Ethernet സബ്നെറ്റ്, യന്ത്രത്തിൽ നിന്ന് പുറത്തുപോകുന്നതെല്ലാം പ്രാദേശികമാണെന്ന് കരുതുന്ന ഒരു ഡെസ്ക്ടോപ്പ് VPN ക്ലയന്റ്. പ്രാദേശികമായി ആരംഭിച്ച ആപ്പുകൾ പ്രാദേശിക ഔട്ട്പുട്ട് പാതയിലൂടെ പുറത്തുപോകുന്നു. വർക്ക്സ്റ്റേഷന് പിന്നിലെ ഉപകരണങ്ങൾ Ethernet പോർട്ടിൽ എത്തുന്നു, ഫോർവേഡിംഗ് തീരുമാനം ആവശ്യമാണ്. ആദ്യ പാതയ്ക്കായി എഴുതിയ ഒഴിവാക്കൽ രണ്ടാമത്തേതിനെ ഒരിക്കലും കാണുന്നില്ല, അതുകൊണ്ടാണ് ബ്രൗസർ ടണൽ ഒഴിവാക്കുന്നത്, ഉപകരണങ്ങൾ അല്ല.
രണ്ട് പാക്കറ്റ് പാതകൾ, ഒരു നയം
| Origin | Path | Decision owner |
|---|---|---|
| Application on the workstation | OUTPUT then egress | The VPN app's routing policy |
| Device behind the workstation | PREROUTING then FORWARD | The workstation's own forwarding policy |
ആദ്യ വരി മിക്ക split-tunneling ഗൈഡുകളും വിവരിക്കുന്നതാണ്. രണ്ടാമത്തേത് അതേ യന്ത്രത്തിൽ യാദൃച്ഛികമായി കഴിയുന്ന ഒരു റൗട്ടർ കോൺഫിഗറേഷനാണ്. രണ്ടിനെയും ഒരു മാനസിക മാതൃകയിൽ ഉരുക്കിച്ചേർക്കുന്നതാണ് തെറ്റ്; അവ കേർണൽ പങ്കിടുന്നു, നയം അല്ല. ഏതെങ്കിലും നിയമം തിരുത്തുന്നതിന് മുൻപ് രണ്ട് പാതകളും വരയ്ക്കൂ, ബാക്കി രൂപകൽപ്പന ഏത് പാതയാണ് ഇല്ലാത്തത് എന്നതിൽ നിന്ന് വരും.
ഒരു യന്ത്രത്തിന് ഒരു പരിശോധന പാസാകാനും മറ്റൊന്നിൽ പരാജയപ്പെടാനും കാരണം ഈ പട്ടിക വിശദീകരിക്കുന്നു. വർക്ക്സ്റ്റേഷനിലെ ബ്രൗസർ പ്രാദേശിക പാത തെളിയിക്കുന്നു; Ethernet പോർട്ടിൽ ഘടിപ്പിച്ച ലാപ്ടോപ്പ് ഫോർവേഡിംഗ് പാത തെളിയിക്കുന്നു. ഓരോ മാറ്റവും രണ്ടിലും പരിശോധിക്കൂ, അല്ലെങ്കിൽ ബ്രൗസർ എത്ര തവണ പുതുക്കിയാലും രണ്ടാമത്തേത് പരിശോധിക്കപ്പെടാതെ നിൽക്കും.
ആപ്പ് ഒഴിവാക്കൽ യഥാർത്ഥത്തിൽ എന്താണ് വർഗ്ഗീകരിക്കുന്നത്
ഓരോ ആപ്പിനുമുള്ള ഒഴിവാക്കൽ സാധാരണയായി ഇങ്ങനെ പ്രവർത്തിക്കുന്നു: ഒരു പ്രോസസ്സിന്റെയോ ഉപയോക്താവിന്റെയോ പാക്കറ്റുകൾ അടയാളപ്പെടുത്തുന്നു, പിന്നീട് അടയാളപ്പെടുത്തിയ ട്രാഫിക് ടണലിന് പുറത്തേക്ക് റൂട്ട് ചെയ്യുന്നു. ഇത് പ്രാദേശിക ഔട്ട്പുട്ട് നിർമ്മിതിയാണ്. ഡൗൺസ്ട്രീം ഉപകരണത്തിൽ നിന്നുള്ള പാക്കറ്റിന് പ്രാദേശിക പ്രോസസ്സ് ഇല്ല, അതിനാൽ അത് സെലക്ടറുമായി ഒരിക്കലും ഒത്തുപോകുന്നില്ല, സെലക്ടർ എന്തായാലും.
സെലക്ടർ എന്തായാലും, രണ്ട് പട്ടികകളും ഒരേ പട്ടികയല്ല, അതാണ് മുഴുവൻ കാര്യം. Mullvad-ന്റെ Linux ഗൈഡ് അതിന്റെ ഫയർവാളും റൂട്ടിംഗ് നയവും ഉപയോഗിക്കുന്ന അടയാളങ്ങളെ വിവരിക്കുന്നു, അതിന്റെ ഉദാഹരണങ്ങൾ പ്രാദേശിക ഔട്ട്പുട്ടിനെ ലക്ഷ്യമിടുന്നു; അവ ഡൗൺസ്ട്രീം റൗട്ടറിന്റെ പിന്തുണയുള്ള വിവരണമല്ല. അവ പകർത്തിയാൽ എല്ലാം ടണലിലേക്ക് ഫോർവേഡ് ചെയ്യുമ്പോഴും തനിക്ക് ഒഴിവാക്കൽ ഉണ്ടെന്ന് വിശ്വസിക്കുന്ന യന്ത്രം ലഭിക്കും.
ട്രാൻസിറ്റ് കരാർ എഴുതൂ
ഡൗൺസ്ട്രീം സ്രോതസ്സ് പ്രിഫിക്സും ഇൻഗ്രെസ് ഇന്റർഫേസും ഒരുമിച്ച് പേരിടൂ, പിന്നീട് ആ പ്രിഫിക്സ് ഇൻഗ്രെസിൽ പരിമിതപ്പെടുത്തൂ. പരിമിതിയില്ലാതെ, പോർട്ടിൽ എത്തുന്ന ഏത് ഉപകരണത്തിനും ഒഴിവാക്കപ്പെട്ട വിലാസം അവകാശപ്പെട്ട് ബൈപാസിലൂടെ പുറത്തുപോകാം. ഇതിനെ രണ്ട് ചോദ്യങ്ങളായി കാണൂ: ഈ ഹോസ്റ്റുകൾക്ക് ഈ അപ്ലിങ്ക് ഉപയോഗിക്കാമോ, അവർക്ക് വർക്ക്സ്റ്റേഷനിലേക്കോ ടണലിന്റെ സ്വകാര്യ ശ്രേണികളിലേക്കോ എത്താമോ? ഇവ അധിക അനുമതികളാണ്, അപ്ലിങ്ക് തിരഞ്ഞെടുപ്പിന്റെ പാർശ്വഫലങ്ങളല്ല.
ഫോർവേഡിംഗ് അനുവദിക്കൂ, പിന്നീട് ഫിൽട്ടർ ചെയ്യൂ. Linux ഗേറ്റ്വേയ്ക്ക് ഫോർവേഡിംഗ് സജീവം, ഉദ്ദേശിച്ച ട്രാഫിക് രണ്ട് ദിശകളിലും അനുവദിക്കുന്ന നിയമങ്ങൾ, ഒപ്പം അപ്സ്ട്രീം റിട്ടേൺ റൂട്ട് അല്ലെങ്കിൽ ബോധപൂർവം പരിമിതപ്പെടുത്തിയ സ്രോതസ്സ് വിവർത്തനം എന്നിവ വേണം. NAT മാത്രം അപ്ലിങ്ക് തിരഞ്ഞെടുക്കുന്നില്ല, ഫിൽട്ടറിലൂടെ കടത്തിവിടുന്നുമില്ല; ആ തീരുമാനങ്ങൾക്ക് ശേഷം അത് വിലാസം മാത്രം പുനരെഴുതുന്നു.
ട്രാൻസിറ്റിനുള്ള വർഗ്ഗീകരണം ഫോർവേഡിംഗ് റൂട്ട് തീരുമാനത്തിന് മുൻപ് നടക്കണം, അതായത് output അല്ല, prerouting ഘട്ടത്തിൽ. തീരുമാനത്തിന് ശേഷം വയ്ക്കുന്ന നിയമത്തിന് പാക്കറ്റ് മാറ്റാം, പക്ഷേ പാക്കറ്റ് ഇതിനകം എവിടേക്ക് അയച്ചു എന്നത് മാറ്റാനാവില്ല.
അടയാളങ്ങൾ അവ ഉടമസ്ഥതയിലുള്ള ആപ്പിന്റേതാണ്
അടയാള മൂല്യങ്ങൾ, പട്ടിക നമ്പറുകൾ, ചെയിൻ മുൻഗണനകൾ എന്നിവ VPN ആപ്പിന്റെ നയത്തിന്റെ ഭാഗമാണ്, ശാശ്വത സ്ഥിരാങ്കങ്ങളല്ല. മറ്റൊരു പ്രോഗ്രാം വീണ്ടും നിർമ്മിക്കുന്ന പട്ടികയിൽ നിയമം ചേർക്കുന്നതിനെ ആശ്രയിക്കുന്ന നെറ്റ്വർക്ക് അടുത്ത അപ്ഡേറ്റിൽ തകരും, സാധാരണയായി സൗകര്യപ്രദമായ സമയത്തല്ല, വീണ്ടും ബന്ധിപ്പിക്കുമ്പോൾ.
accept വിധിയുള്ള രണ്ടാമത്തെ അടിസ്ഥാന ചെയിൻ ചേർക്കുന്നത് പിന്നീടുള്ള ചെയിനിന്റെ drop നിർബന്ധമായും അതിലംഘിക്കുന്നില്ല. അടിസ്ഥാന ചെയിനുകൾക്ക് ഹുക്കുകളും മുൻഗണനകളും ഉണ്ട്, ക്രമത്തിൽ ആദ്യ വിധി വിജയിക്കുന്നു; ഒരു ചെയിനിലെ accept മറ്റൊരു ചെയിൻ ആദ്യം എത്തുന്ന drop റദ്ദാക്കുന്നില്ല. കൂടിയ ഒരു കൗണ്ടർ മാത്രമല്ല, മുഴുവൻ നിയമക്കൂട്ടവും റൂട്ടിംഗ് നയത്തിന്റെ ക്രമവും നോക്കൂ. കൗണ്ടർ നിയമം ഓടി എന്ന് തെളിയിക്കുന്നു, അതിന്റെ വിധിയാണ് പ്രയോഗിച്ചത് എന്ന് ഒരിക്കലും തെളിയിക്കുന്നില്ല.
സംയോജിപ്പിക്കൂ, അല്ലെങ്കിൽ സബ്നെറ്റ് മാറ്റൂ
രണ്ട് രൂപകൽപ്പനകളും ബൈപാസിന്റെ ഉടമസ്ഥത ആർക്കാണ് എന്നതിൽ വ്യത്യാസപ്പെടുന്നു. സംയോജിത രൂപകൽപ്പന ഒരു യന്ത്രവും ഒരു നയവും നിലനിർത്തുന്നു, പക്ഷേ VPN ആപ്പിന്റെ പട്ടിക ജീവിതചക്രത്തെയും അതിന്റെ ഡോക്യുമെന്റേഷൻ മാറ്റാവുന്ന അടയാളക്കൂട്ടത്തെയും ആശ്രയിക്കുന്നതിന്റെ വിലയ്ക്ക്. ഡൗൺസ്ട്രീം നെറ്റ്വർക്കിനായുള്ള സമർപ്പിത റൗട്ടർ ആ ആശ്രിതത്വം പൂർണ്ണമായി ഒഴിവാക്കുന്നു: സബ്നെറ്റിന് സ്വന്തം അപ്ലിങ്ക് ഉണ്ട്, വർക്ക്സ്റ്റേഷൻ ഫോർവേഡിംഗ് പങ്കില്ലാത്ത ക്ലയന്റായി തുടരുന്നു.
ഡൗൺസ്ട്രീം നെറ്റ്വർക്ക് VPN അപ്ഡേറ്റുകളിലൂടെ പ്രവർത്തിക്കണമെങ്കിൽ, അല്ലെങ്കിൽ ഓരോ റിലീസിന് ശേഷവും സംയോജിത നയം ആർക്കും പരിശോധിക്കാനാവില്ലെങ്കിൽ രണ്ടാമത്തേത് തിരഞ്ഞെടുക്കൂ. സംയോജനം ഡോക്യുമെന്റ് ചെയ്തതും ആരെങ്കിലും അതിന്റെ ഉത്തരവാദിത്വം ഏറ്റെടുത്തതും ആണെങ്കിൽ മാത്രം ആദ്യത്തേത് തിരഞ്ഞെടുക്കൂ.
നാല് അവസ്ഥകളിൽ അതിർത്തി പരിശോധിക്കൂ: ബന്ധിപ്പിച്ചത്, വീണ്ടും ബന്ധിപ്പിക്കുന്നത്, ബോധപൂർവം തടഞ്ഞത്, നിർത്തിയത്. ഓരോന്നിലും നാമപരിഹാരവും രണ്ട് വിലാസ കുടുംബങ്ങളും പരിശോധിക്കൂ, കാരണം DNS ചോർത്തുന്ന ബൈപാസ് നിങ്ങൾ രൂപകൽപ്പന ചെയ്ത ഒഴിവാക്കലല്ല. പരിശോധന കൃത്യമായ അതിർത്തി തെളിയിക്കണം, ഒരു പേജ് ലോഡ് ആയി എന്നല്ല.