Доод дэд сүлжээ ба ширээний VPN: транзитыг хасах, аппуудыг биш
Апп тус бүрийн тойролт зөвхөн локал гаралтыг ангилдаг. Ажлын станцын ардах төхөөрөмжүүд өөрийн орох, дамжуулах, буцах замын бодлого хэрэгтэй.
Нэг машин, хоёр ажил, нэг галт хана: Wi-Fi дээш суваг, түүний ард жижиг Ethernet дэд сүлжээ, машинаас гарч буй бүгдийг локал гэж үздэг ширээний VPN клиент. Локалаар асгасан аппууд локал гаралтын замаар гардаг. Ажлын станцын ардах төхөөрөмжүүд Ethernet порт дээр ирж, дамжуулалтын шийдвэр хэрэгтэй. Эхний замд зориулж бичсэн үл хамаарах дүрэм хоёр дахь замыг хэзээ ч хардаггүй, тиймээс хөтөч туннелийг тойрч гардаг бол төхөөрөмжүүд гардаггүй.
Хоёр пакетийн зам, нэг бодлого
| Origin | Path | Decision owner |
|---|---|---|
| Application on the workstation | OUTPUT then egress | The VPN app's routing policy |
| Device behind the workstation | PREROUTING then FORWARD | The workstation's own forwarding policy |
Эхний мөр бол ихэнх split-tunneling гарын авлагад дүрслэгддэг зүйл. Хоёр дахь нь нэг л машин дээр санамсаргүй байрласан чиглүүлэгчийн тохиргоо. Хоёулыг нэг оюун санааны загварт хайлуулах нь алдаа; тэд цөмийг хуваалцдаг, бодлогыг биш. Аливаа дүрмийг засахаас өмнө хоёр замыг зур, үлдсэн загвар аль зам дутуу байгаагаас гарна.
Хүснэгт мөн нэг машин нэг туршилтад тэнцэж, нөгөөд нь яагаад унадагийг тайлбарлана. Ажлын станц дээрх хөтөч локал замыг батална; Ethernet портод холбосон зөөврийн компьютер дамжуулалтын замыг батална. Өөрчлөлт бүрийг хоёулаагаар шалга, тэгэхгүй бол хөтчийг хэдэн ч удаа сэргээсэн хоёр дахь зам шалгагдаагүй үлдэнэ.
Аппын үл хамаарах дүрэм үнэндээ юуг ангилдаг вэ
Апп тус бүрийн үл хамаарах дүрэм ихэвчлэн ингэж ажилладаг: процесс эсвэл хэрэглэгчийн пакетуудыг тэмдэглэнэ, дараа нь тэмдэглэсэн урсгалыг туннелиас гадуур чиглүүлнэ. Энэ бол локал гаралтын бүтэц. Доод төхөөрөмжийн пакетэд локал процесс байхгүй тул сонгогч ямар ч байсан тэр сонгогчтой хэзээ ч таарахгүй.
Сонгогч ямар ч байсан, хоёр жагсаалт нэг жагсаалт биш, бүх асуудал үүнд л байгаа. Mullvad-ийн Linux гарын авлага нь галт хана болон чиглүүлэлтийн бодлогынх нь хэрэглэдэг тэмдгүүдийг дүрсэлдэг бөгөөд жишээнүүд нь локал гаралтыг зорьдог; тэдгээр нь доод чиглүүлэгчийн дэмжигдсэн тодорхойлолт биш. Тэдгээрийг хуулбарлавал бүгдийг туннель рүү дамжуулж байхдаа үл хамаарах дүрэмтэй гэж итгэдэг машин гарна.
Транзитын гэрээг бич
Доод эх сурвалжийн префикс болон орох интерфэйсийг хамт нэрлэж, дараа нь тэр префиксийг орох хэсэгт хязгаарла. Хязгаарлалтгүй бол портод хүрэх аливаа төхөөрөмж хасагдсан хаягийг шаардаж, тойролтоор гарч чадна. Үүнийг хоёр асуулт гэж үз: эдгээр хост энэ дээш сувгийг огт ашиглаж болох уу, мөн тэд ажлын станц эсвэл туннелийн хувийн мужид хүрч чадах уу? Эдгээр нь нэмэлт зөвшөөрөл, суваг сонголтын гаж нөлөө биш.
Дамжуулалтыг зөвшөөр, дараа нь шүү. Linux гарцанд идэвхжсэн дамжуулалт, зорьсон урсгалыг хоёр чиглэлд зөвшөөрөх дүрэм, мөн дээш буцах зам эсвэл зориуд хязгаарласан эх сурвалжийн хөрвүүлэлт хэрэгтэй. NAT дангаараа дээш сувгийг сонгодоггүй, шүүлтүүрээр нэвтрүүлдэггүй; энэ нь тэдгээр шийдвэрийн дараа хаягийг л дахин бичдэг.
Транзитын ангилал дамжуулалтын замын шийдвэрээс өмнө, өөрөөр хэлбэл output биш prerouting үе шатанд явагдах ёстой. Шийдвэрийн дараа тавьсан дүрэм пакетыг өөрчилж болох ч, пакет аль хэдийн хаашаа илгээгдсэнийг өөрчилж чадахгүй.
Тэмдэг нь тэдгээрийг эзэмшдэг аппад хамаарна
Тэмдгийн утга, хүснэгтийн дугаар, гинжин хэлхээний давуу эрх нь VPN аппын бодлогын хэсэг, мөнх тогтмол биш. Өөр програм дахин үүсгэдэг хүснэгтэд дүрэм оруулахаас хамаардаг сүлжээ дараагийн шинэчлэлтэд эвдэрнэ, ихэвчлэн дахин холбогдох үед, тохиромжтой үед биш.
accept шийдвэртэй хоёр дахь суурь гинжийг нэмэх нь дараагийн гинжийн drop-ыг заавал дарж чадахгүй. Суурь гинжүүд дэгээ, давуу эрхтэй бөгөөд дараалалд эхний шийдвэр ялна; нэг гинжийн accept нь өөр гинж эхэлж хүрдэг drop-ыг цуцалдаггүй. Өссөн нэг тоолуурыг биш, бүх дүрмийн багц болон чиглүүлэлтийн бодлогын дарааллыг хар. Тоолуур дүрэм ажилласныг батална, түүний шийдвэр л хэрэглэгдсэнийг хэзээ ч батлахгүй.
Нэгтгэ, эсвэл дэд сүлжээг зөө
Хоёр загвар нь тойролтыг хэн эзэмшдэгээрээ ялгаатай. Нэгтгэсэн загвар нэг машин, нэг бодлогыг хадгалдаг ч VPN аппын хүснэгтийн амьдралын мөчлөг болон түүний баримт бичиг өөрчилж болох тэмдгийн багцаас хамаарах үнэ төлдөг. Доод сүлжээнд зориулсан тусгай чиглүүлэгч энэ хамаарлыг бүрмөсөн арилгана: дэд сүлжээ өөрийн дээш сувагтай, ажлын станц дамжуулалтын үүрэггүй клиент хэвээр үлдэнэ.
Хоёр дахьыг сонго, хэрэв доод сүлжээ VPN шинэчлэлтийн турш ажиллах ёстой бол, эсвэл ресурс бүрийн дараа нэгтгэсэн бодлогыг хэн ч шалгаж чадахгүй бол. Эхнийхийг зөвхөн нэгтгэл баримтжуулсан, хэн нэгэн хариуцлага хүлээсэн үед сонго.
Хил хязгаарыг дөрвөн төлөвт шалга: холбогдсон, дахин холбогдож байгаа, зориуд хаагдсан, зогсоосон. Тус бүрд нэрийн шийдвэр болон хоёр хаягийн бүлгийг шалга, учир нь DNS алдагдуулдаг тойролт нь таны зохиосон үл хамаарах дүрэм биш. Туршилт яг хил хязгаарыг батлах ёстой, зөвхөн нэг хуудас ачаалагдсаныг биш.