Хувийн маршрутуудыг хадгалан дахин чиглүүлэлтийг хая: OpenVPN хуваагдсан туннель
Зөвхөн хувийн сүлжээнд зориулсан туннельд хоёр дүрэм хэрэгтэй: хувийн угтварууд түүгээр дамжина, энгийн вэб үзэл өөрийн орон нутгийн замыг хадгална. Анхдагч маршрутыг устгах нь бодлого биш.
Туннель босч, апп ачаалагдаж, дараа нь зөөврийн компьютер дээрх бусад бүхэн хачирхалтай ажиллаж эхэлдэг. Энэ бол нэг мөрийг устгаж хэрэгжүүлсэн зөвхөн хувийн бодлогын ердийн дүр төрх юм. Түлхэгдсэн анхдагч маршрутыг авах нь урсгал хаашаа явахыг үнэхээр өөрчилдөг ч урсгал оронд нь хаашаа явах ёстойг хэлэхгүй бөгөөд нэр шийдвэрлэлтэд огт хүрэхгүй. Бодлогыг шалгахын тулд түүнд хоёр эерэг хагас хэрэгтэй.
Дахин чиглүүлэлтийг устгах нь өөрчлөлтийн хагас нь л юм
Бүрэн туннелийн дахин чиглүүлэлт ба зөвхөн хувийн бодлого нь ертөнцийн талаар юу гэж мэдэгддэгээрээ ялгаатай. Дахин чиглүүлэлт бүх очих газрыг шаарддаг бол хувийн бодлого жагсаалтыг шаардаж, бусадaнг нь тайван орхидог. Жагсаалтыг бичилгүй шаардлагыг устгах нь орон нутгийн сүлжээнээс гадна хаашаа ч хүрдэггүй клиент үүсгэдэг бөгөөд энэ нь бодлогын цоорхойноос илүү маршрутжуулалтын алдаа мэт харагдана. Шаардлагыг авахаасаа өмнө жагсаалтыг бич, тэгвэл тэр хоёр алхмын дараалал ач холбогдолгүй болно.
Хоёр хагас нь анхдагч биш, шаардлага юм. Хувийн угтварууд туннельд орох ёстой, энгийн очих газрууд холболтын өмнөх замаа хадгалах ёстой.
Байгууллага бүрэн туннелийг заавал болговол эндээс юу ч хамаарахгүй. Зөвхөн хувийн загвар нь хуваагдсан маршрутжуулалт зөвшөөрөгдсөн байршуулалтад хамаарна.
pull-filter бол тохирол, унтраалга биш
pull-filter заавар нь нэр нь угтвартай тохирох түлхэгдсэн сонголтуудыг устгадаг бөгөөд энэ л хийдэг зүйл. Дахин чиглүүлэлтийг үл тоомсорловол бусад бүх түлхэгдсэн сонголт байрандаа үлдэнэ, энэ нь ихэвчлэн таны хүссэн зүйл: маршрутууд, DNS тохиргоо, маршрутын гарцын утга бүгд ирсээр байна. Энэ нь орон нутгийн профайлд бичсэн зааврыг ч устгаж чадахгүй, учир нь шүүлт нь серверийн түлхэж буй зүйлд хамаарна.
route-оор эхэлсэн бүх сонголтыг үл тоомсорлох уруу таталтад тэсвэрлэ. Тэр загвар нь холболтод хэрэгтэй хувийн маршрутуудыг ч хаяж, туннель хамааралтай гарцын мэдээллийг алдаж болно.
route-nopull харагдахаас илүү өргөн шийдвэр юм. Энэ нь клиентийг түлхэгдсэн маршрут болон DHCP загварын сонголтуудыг бүлгээр хүлээн авахаас сэргийлдэг бөгөөд энэ нь нэг сонголтыг шүүхээс өөр бодлого юм.
Маршрутын жагсаалтыг аппаас гадагш бич
Хэрэглэгчийн үнэхээр нээдэг зүйлээс эхэлж, дараа нь дэмжих хэсгүүдийг нэм. 10.60.20.15 дээрх апп өөрийн дэд сүлжээг 10.60.0.0/16 илэрхийлж, хувийн нэр түүнд хариулах шийдвэрлэгчийг илэрхийлнэ. Тиймээс нэг апп хүссэн хэрэглэгчид хоёр очих газар, нэг DNS шийдвэр хэрэгтэй. Тэр жагсаалтаас цааш байгаа бүхэн бүтцээрээ хүрээнээс гадуур бөгөөд энэ нь бодлогыг хянах боломжтой байлгадаг.
Хамтран ажилладаг сервер дээр тэдгээр нь хоёр түлхэгдсэн маршрут болж, аль нь ч дахин чиглүүлэлт биш. Одоо байгаа үйлчилгээний өгдөг туннелийн топологи болон маршрутын гарцын утгыг хадгал.
Энэ бодлого зөвхөн зарим хэрэглэгчид хэрэгтэй бол клиент тус бүр эсвэл бүлэг тус бүрээр хэрэглэ. Нэг багийн шаардлагыг засахын тулд бүгдийн маршрутжуулалтыг өөрчлөх нь хуваагдсан туннелийг тасалдал болгох зам юм.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
DNS ижил замаар яваг
Шийдвэрлэгч рүү гарах маршрут нь шийдвэрлэгчийн бодлого биш. systemd-resolved клиент дээр утга зүйн үр дүн нь хувийн нэрийн орон зайд зориулсан маршрутжуулалтын домэйн бөгөөд дотоод шийдвэрлэгч рүү заадаг, үүнээс л зөвхөн тэр нэрс үүнийг ашигладаг. Windows клиентэд оронд нь өөрийн нэрийн орон зайн бодлогын механизм хэрэгтэй. Профайл дахь DNS серверийн мөр нь аль нэгийг ч өөрөө суулгахгүй.
Профайл юу шаардсаныг биш, үйлдлийн систем юу сонгосныг шалга. Linux дээр resolvectl status холбоос тус бүрийн домэйн болон серверийг харуулна; Windows дээр нэрийн орон зайн бодлогын хүснэгт нь тэнцүү нотолгоо юм.
Шийдвэрлэгчийг туннелээр дамжуулан хүртээмжтэй байлга, эс бөгөөс бодлого асууж болохгүй хаяг руу заана. Туннель хүрч чадахгүй шийдвэрлэгчийн хаяг ажиллаж буй бодлогыг хугацаа хэтрэлт болгоно.
Дахин холбогдох үед хоёр хагасыг шалга
Өөрчлөлтийн дараа клиентийг дахин холбож, хувийн хаяг болон нийтийн хаяг руу хүрэх үр дүнтэй маршрутыг шалга. Дараа нь хувийн нэр, нийтийн нэрийг шийдвэрлэж, тус бүр төлөвлөсөн шийдвэрлэгчийг ашигласныг батал. Нийтийн вэб сайт ачаалагдах нь зөвхөн хоёр дахь хагасыг нотолдог бөгөөд ихэвчлэн тэр хагас нь санамсаргүй ажилладаг.
Бэлэн бодлогыг нэг өгүүлбэрээр тэмдэглэ: эдгээр угтвар болон нэрс энэ холболтыг ашиглана, бусад бүхэн орон нутгийн замыг дагана. Дараа нь оронд нь профайлд хадгал, нэвтрэх бүрийн дараа адаптерын тохиргоог засахаас илүү.