Split-tunnel баримт бичигт зам бүрийн хажууд DNS дүрэм хэрэгтэй
Зам нь хаягаар шийднэ, шийдэгч нь нэрээр шийднэ. Урсгал бүрт хоёр сонгогчийг бичнэ үү, тус бүр нэг тесттэй, эс бөгөөс DNS өөрчлөгдөхөд тэмдэглэл бүтэлгүйтнэ.
"Оффисын урсгал VPN-ээр дамждаг" гэж бичсэн split-tunnel тэмдэглэл нэг шийдвэрийг баримтжуулж, өөр гурвыг дамжуулан хэлсэн. Пакетийн түвшинд чиглүүлэлтийн хүснэгт интерфэйсийг очих хаягаар сонгоно; нэрийн түвшинд шийдэгч серверийг асуулгаар сонгоно, эдгээр хоёр сонголт бие даан хийгддэг. Тиймээс зөв баримтжуулсан префикс нь дотоод нэрийг нийтийн хаяг руу шийддэг, эсвэл зам төгс харагдаж байхад юу ч шийдэхгүй машин үүсгэсээр байж болно.
Хоёр сонгогч, нэг холболтын оролдлого
Аппликейшн files.corp.example хаяг руу холбогдоход пакет үүсэхээс өмнө хоёр хайлт явагдана. Шийдэгч асуулгыг аль сервер авахыг хайлтын домэйн, холбоо бүрийн чиглүүлэлтийн домэйн эсвэл профайлын тодорхой дүрмээр шийднэ. Дараа нь чиглүүлэлтийн хүснэгт гарсан хаяг хааша явахыг очих газартай хамгийн урт префиксийн тохирлоор шийднэ.
Эдгээр хоёр шийдвэрийг юу ч холбохгүй. Хувийн бүс 10.20.4.11 хаягаар хариулж болно, харин чиглүүлэлтийн хүснэгт 10.20.0.0/16 мужийг туннель руу илгээдэг, холболт ажилладаг. Аль нэгийг нь эргүүлэхэд нөгөөтэй төстэй байдлаар бүтэлгүйтнэ: зөв DNS бодлого дээр дутуу зам нэмэгдвэл шийдэгдсэн нэр ба хугацаа хэтэрнэ, харин зөв зам дээр нийтийн шийдэгч нэмэгдвэл цэвэрхэн буруу газар чиглэгдэх хаяг гарна.
Хуваагдсан тэнгэрийн хаяа DNS үүнийг улам хурц болгоно. Нэг нэр дотоод шийдэгчээс хувийн хаяг, интернэт рүү харсан шийдэгчээс нийтийн хаяг буцааж болох тул зөвхөн префиксийг бүртгэсэн тэмдэглэл клиент яг аль хаягийг ашиглахыг урьдчилан хэлж чадахгүй. Шийдэгчийн замыг бичнэ үү, эс бөгөөс хаяг бол таамаг.
Зөвхөн замын тэмдэглэл юу орхидог
Зөвхөн замын бүртгэл split-tunnel-ийн хамгийн түгээмэл алдаанд тохиромжгүй: нэрс. Хэрэглэгч дотоод сүлжээ ачаалагдахгүй гэж мэдэгддэг, туннель асаалттай, префикс байна. Тикетийг авсан хүнд аль шийдэгч хариулах ёстой байсан тухай бүртгэл байхгүй, буруу хайлтын дагаварыг хаагдсан серверээс ялгах арга байхгүй, харьцуулах суурь шугам байхгүй.
Хоёр дахь орхигдол нь үл хамаарах зүйлсийн жагсаалт юм. Split-tunnel загварыг туннель гадна үлдэх зүйл ч, дотор нь орох зүйл ч адилхан тодорхойлдог бөгөөд хасагдсан мужууд ихэвчлэн эхлээд эвдэрдэг, учир нь илүү тодорхой локал зам эсвэл клиент талын шүүлтүүр профайлыг хөндөхгүйгээр зорилгыг давж болно.
Гурав дахь нь туннелийн алслагдсан тал юм. Клиентийн зам зөвхөн пакетыг утсанд тавьдаг; гарц түүнийг дамжуулж, буцах замтай байх ёстой. strongSwan-ы дамжуулалтын гарын авлага гарц дээрх дамжуулалт ба галт хананы дүрэм нь боломжийн хэсэг бөгөөд таамаглаж болох сантехникийн хэсэг биш гэдгийг сануулдаг.
Тэмдэглэлийг гүйцэтгэх боломжтой болгох талбарууд
Урсгал бүрт нэг мөр, урсгал гэдэг нь очих газар нэмэх нэр нэмэх эзэмшигч. Эдгээр нь бодит осолтой тулгарахад тэсвэрлэдэг талбарууд:
| Field | Why it has to be written down |
|---|---|
| Destination prefix and address family | The route is per family; an IPv4 note says nothing about a AAAA answer |
| Selected tunnel or direct path | Names the decision, not the symptom |
| Private namespace and resolver | Which domain, which server, which search suffix |
| Public name path | Confirms public names do not accidentally use the private resolver |
| Where the rule lives | Client profile, server push, OS policy or management tool |
| Owner and review date | Namespaces change owner more often than routes change |
"Хаана амьдардаг" гэсэн мөр нь хүмүүсийн алгасдаг мөр юм. Серверийн түлхсэн префикс, клиент профайлын нэмсэн зам, shell-д бичсэн зам нь хэн өөрчилж болох, дахин холбогдоход үлдэх эсэхээрээ ялгаатай. Тэр талбаргүйгээр дараагийн инженер гурвын алийг нь харж байгаагаа хэлж чадахгүй.
Дүрэм бүрт нэг тест, туннель бүрт нэг биш
Мөр бүрт хоёр хор хөнөөлгүй шалгалт хэрэгтэй: нэг нь замыг, нөгөө нь нэрийг дасгалжуулна. Замын хувьд туннелээр заавал гарах зүйлийг хүсэж, хүртээмжийн оронд замыг баталгаажуул, жишээ нь tracert -d 10.20.4.11 Windows дээр эсвэл ip route get 10.20.4.11 Linux дээр. Нэрийн хувьд хувийн нэрийг асууж, аль сервер хариулсныг бүртгэ, тэмдэглэлд дурдсан шийдэгчийн эсрэг resolvectl query files.corp.example эсвэл dig files.corp.example ашиглан.
Сөрөг хүлээлт нэмнэ үү: туннель унтраалттай үед юу болох ёстой. VPN-гүйгээр блоклох асаалттай Android эсвэл iOS төхөөрөмж дээрх хасагдсан аппликейшн огт холболтгүй байж болно, харин ширээний клиент туннель дахин холбогдож байх хооронд мөн тэр аппликейшныг ажиллуулж болно. Төлөвлөсөн хариултыг бүртгэх нь "VPN миний аппыг эвдсэн" гэдгийг шалгаж болох мэдэгдэл болгоно.
Бүртгэлийг тохиргоотой хамт хадгал
Тэмдэглэлийг түүний дүрсэлсэн профайлын хажууд хадгалж, тэр профайлтай хамт хувилбарла. Хэн ч шинэчлэхгүй вики дэх баримт бичиг бол цуу яриа; түлхсэн замууд болон шийдэгчийн бодлоготой нэг агуулахад байгаа хүснэгтийг мөн тэр өөрчлөлтөд хянаж болно.
Ямар нэгэн зүйл эвдэрвэл, өөр нэг үл хамаарах зүйл нэмэхийн өмнө хэрэглэсэн зам болон үйлчилж буй шийдэгчийг бүртгэлтэй харьцуул. Гурван түгээмэл шалтгааны хоёр нь — хуучин нэрийн орон зайн дүрэм ба аппын бодлогын гаднах туслах процесс — яг VPN-ийн гэмтэл мэт харагдах ба тэмдэглэл зөвхөн префиксүүдийг жагсаавал үл үзэгдэнэ.
Тэмдэглэлийг бэлэн гэж нэрлэхийн өмнө дараах асуултад бичгээр хариулж байгаа эсэхийг баталгаажуул: аль префикс, аль хаягийн гэр бүлд; аль хувийн нэрийн орон зайг аль шийдэгч хариулав; аль нэрс санаатайгаар нийтийн хэвээр үлдэнэ; дүрэм бүр хаана тохируулагдсан, хэн эзэмшдэг; мөн замыг нотолсон нэг команд ба нэрийг нотолсон нэг команд. Эдгээрийн аль нэг нь дутуу бол дараагийн ослыг тэгээс оношилно.