Утасны VPN гэр лүү: firewall-ийг интернэтийн гарц болго

Утсыг гэрийн туннельд холбож, LAN файл хуваалтыг нээх нь туннель ажиллаж байгааг батална. Энэ нь утасны интернэт хүсэлтүүд гэрээр гарч байгааг батлахгүй. Энэ хоёр үр дүнгийн ялгаа нь дамжуулах бодлого ба маршрут бөгөөд утсан дээрх өөр нэг чагт биш. Энэ нь олон хүний аль хэдийн тохируулсан гэж боддог ялгаа юм.

Гарах замыг гурван шийдвэр бүрдүүлдэг: утас туннельд юу илгээх, гэрийн гарц үүнийг хаашаа дамжуулах, туннель байхгүй үед юу болох. Тус бүр утасны дэлгэцээс бусадтай адил харагдах эвдрэлийн горимтой.

Хоёр харайлт, хоёр бодлого

Гадаад холболт гэрийн VPN сонсогч дээр төгсдөг. Дотоод пакет нь хаа нэгтээ дамжуулах ёстой тусдаа объект бөгөөд дамжуулалт нь туннелийг анх хүлээн авахаас өөр firewall шийдвэр юм.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Энгийн гэрийн чиглүүлэгч дээр эдгээр өөр дүрмийн багцад амьдардаг. Туннелийг хүлээн авах нь VPN интерфейс дээрх оролтын бодлого; утасны урсгалыг интернэт рүү илгээх нь дамжуулах бодлого ба uplink-д хэрэгтэй эх сурвалжийн орчуулга юм. Туннелийг хүлээн авч юу ч дамжуулдаггүй чиглүүлэгч холбогдсон гэж харуулах ба нэг ч хуудас ачаалахгүй утас үүсгэдэг.

Хэрэв VPN үйлчилгээ гэрийн дотор тусдаа машин дээр ажиллаж байвал нэг харайлт нэм. Одоо чиглүүлэгч тэр машинаас ирж буй урсгалыг харж байгаа тул түүний дүрмүүд утасны туннелийн хаяг биш серверийн хаягт хамаарна, эх сурвалжийн орчуулга утас бүрийг нэг хост мэт харагдуулж чадна.

Сонсогч нь шүүлтүүр биш

Хэрэгтэй мэдээлэл байсаар байхад хэрэгжүүлэлт хаана болохыг шийд. Чиглүүлэгч дээр утасны туннелийн хаяг харагдах бөгөөд шууд тулгаж болно. Хоёр дахь орчуулгын цаана тэр алга болж, утасны хаягт зориулж бичсэн дүрмүүд чимээгүйгээр юутай ч тохирохгүй.

Бодлого зөөврийн компьютерт ажиллаад утасанд ажиллахгүй байх нийтлэг шалтгаан энэ юм. Зөөврийн компьютер чиглүүлэгчтэй шууд холбогддог, утас чиглүүлэгчээр дамжуулдаг сервертэй холбогддог, зөвхөн эхний зам л дүрмийн хүлээж буй хаягийг хадгална. Дүрэм буруу биш; тэр энэ цэгт байхгүй болсон утгатай тулгаж байна.

Хэрэгжүүлэлтийн цэг бүр дээр харагдах эх хаягтайгаа замыг бичиж үлдээ. Тэр нэг диаграм нь ямар ч дүрэм засахаас өмнө эдгээр тохиолдлын ихэнхийг шийднэ.

Утас үнэндээ юу илгээх ёстой

Зөвхөн гэрийн дэд сүлжээ рүү маршрут авдаг утас тэр дэд сүлжээний урсгалыг л туннельд илгээнэ. Бусад бүхэн мобайл сүлжээгээр гарна, тиймээс файл хуваалт ажиллаж, интернэт хүсэлтүүд гэрт хэзээ ч хүрэхгүй.

Бүрэн туннелийн хамрах хүрээ нь клиентийн талын маршрутжуулалтын шийдвэр бөгөөд суулгаж буй профайлаас таамаглахгүйгээр платформын дэмждэг механизмаар тохируулах ёстой. Тохируулсны дараа VPN сервер рүү буцах зам туннелийн гадна үлдэх ёстой, эс бөгөөс клиент өөрийн тээврийг хадгалж чадахгүй.

DNS өөрийн шийдвэрийг хүртэх ёстой, учир нь бусад урсгалаас хамгийн их хазайх хэсэг нь тэр юм. Профайл дахь шийдэгчийн хаяг нь клиентүүд өөр өөрөөр ханддаг санал бөгөөд өөрийн шифрлэгдсэн шийдэгчтэй апп огт өөр зам гарч болно. Хэрэв гэрийн бодлого хүсэлтүүд тодорхой шийдэгчид хүрэхээс хамаардаг бол урсгал үнэндээ өнгөрдөг газарт хэрэгжүүл, эсвэл зарим хүсэлт тэгэхгүй гэдгийг хүлээн зөвшөөр. Таны шийдэгчийг тойрч гарсан хүсэлт түүнд зориулж бичсэн дүрэмд хэзээ ч хүрэхгүй.

IPv6 нь DNS-тэй нэг догол мөрөнд багтах бөгөөд хавсралтад биш. Бүрэн IPv4 туннель AAAA урсгалын талаар юу ч хэлэхгүй, давхар стектэй мобайл сүлжээн дэх утас үүнд уугуул замыг баяртайгаар ашиглана. Зөөвөрлөх эсвэл блоклохыг тодорхой сонго.

Firewall юу харж чадах, юу чадахгүй

Гарц нь хэрэгжүүлэлтийн цэг нь илрүүлж буй зүйлд үйлчилж чадна: хаяг, порт, протокол, интерфейс, холболтын мета өгөгдөл. Дамжуулсан HTTPS хүсэлт зөвхөн гэрийн туннелээр өнгөрсөн учраас хуудасны агуулга эсвэл нууц үгийг дамжуулдаггүй.

Энэ хязгаарыг хэлэх нь зүйтэй, учир нь «үүнийг firewall-аар дамжуул» гэх хэллэг гэрийн чиглүүлэгчээс илүү их шалгалтыг илэрхийлнэ. Очих газрын дүрэм, DNS бодлого, апп түвшний прокси нь гурван өөр нэвтрүүлэлтийн зардалтай гурван өөр хяналт юм.

Гэрийн LAN клиентүүдэд тохируулсан функц VPN интерфейст ч хамаарна гэж бүү бод. Бүсийн гишүүнчлэл нь тохиргооны сонголт бөгөөд зөв бүсэд байхгүй VPN интерфейс буйдан дээрээс туршсан ямар ч дүрмийг өвлөхгүй.

Салгагдсан төлөвийг шийд

Туннель боломжгүй үед утас нь мобайл сүлжээ рүү буцах эсвэл урсгалыг илгээхээс татгалзана. Хоёулаа үндэслэлтэй бөгөөд олонхын тохируулсан гэж итгэдэгтэй тохирох нь зөвхөн нэг нь.

Буцах нь тохиромжтой бөгөөд тодорхойлолтоор алдагдана: туннель унасан мөч нь хүсэлтүүд операторын замаар гарч буй мөч юм. Блоклох нь илүү хүчтэй бөгөөд утсыг гэрт хүрч болох эсэхээс хамааралтай болгодог, энэ нь аялж буй хүнд бодит хүртээмжийн зардал юм. Аль ч зан төлөв нь алдаа биш; хоёулаа бүтээгдэхүүн бөгөөд та хэлсэн ч, хэлээгүй ч тэдгээрийн хооронд сонголт хийж байна.

Таамаглахын оронд сонголтыг турш. Гэрийн үйлчилгээг зогсоож, дараа нь утасны хөтчөөс нэг хүсэлт, арын дэвсгэрт ажиллаж буй аппаас нэг хүсэлт туршиж үз. Дараа дахин холбогдох нь аль хэдийн гарсан хүсэлтүүдийг цуцалж чадахгүй.

Утаснаас өөрөө хоёр хяналттай шалгалтаар дуусга: гэрээр гарах ёстой нэг зөвшөөрөгдсөн үйлдэл, гэрийн бодлого хэрэгжүүлэх ёстой нэг татгалзал. Дахин холбогдсоны дараа гарц таны хүлээсэн урсгалыг, хүлээсэн хаягийн бүлэгт бичсэн эсэхийг батал. «Холбогдсон» гэж харуулж буй утас нь тэр шалгалтын эхлэл, хэзээ ч төгсгөл биш.