Kekalkan laluan peribadi dan buang ubah hala: terowong berpecah OpenVPN

Terowong naik, aplikasi dimuatkan, dan kemudian semua perkara lain pada komputer riba mula berkelakuan aneh. Itulah bentuk biasa dasar khusus peribadi yang dilaksanakan dengan menghapuskan satu baris. Mengalih keluar laluan lalai yang ditolak memang mengubah ke mana trafik pergi, tetapi ia tidak menyatakan ke mana trafik sepatutnya pergi sebaliknya, dan ia tidak menyentuh penyelesaian nama sama sekali. Dasar memerlukan dua separuh yang positif sebelum ia boleh diuji.

Menghapuskan ubah hala hanyalah separuh daripada perubahan

Ubah hala terowong penuh dan dasar khusus peribadi berbeza dalam apa yang mereka dakwa tentang dunia. Ubah hala mendakwa setiap destinasi, manakala dasar peribadi mendakwa sesuatu senarai dan membiarkan yang lain. Menghapuskan dakwaan tanpa menulis senarai menghasilkan klien yang tidak sampai ke mana-mana di luar LAN, yang kelihatan seperti kegagalan penghalaan dan bukan jurang dasar. Tulislah senarai sebelum anda mengalih keluar dakwaan itu, dan susunan kedua-dua langkah itu berhenti menjadi penting.

Kedua-dua separuh ialah keperluan, bukan nilai lalai. Awalan peribadi mesti masuk ke dalam terowong, dan destinasi biasa mesti mengekalkan laluan yang mereka ada sebelum sambungan.

Jika organisasi mewajibkan terowong penuh, tiada satu pun daripada ini terpakai. Reka bentuk khusus peribadi tergolong dalam penggunaan yang penghalaan berpecahnya diluluskan.

pull-filter ialah padanan, bukan suis

Arahan pull-filter mengalih keluar pilihan yang ditolak yang namanya sepadan dengan awalan, dan itu sahaja yang dilakukannya. Mengabaikan ubah hala membiarkan setiap pilihan tertolak yang lain di tempatnya, yang biasanya memang yang anda mahu: laluan, tetapan DNS dan nilai get laluan semuanya tetap tiba. Ia juga tidak boleh mengalih keluar arahan yang ditulis dalam profil tempatan, kerana penapisan terpakai pada apa yang ditolak oleh pelayan.

Lawan godaan untuk mengabaikan setiap pilihan yang bermula dengan route. Corak itu juga membuang laluan peribadi yang diperlukan oleh sambungan, dan ia boleh menggugurkan maklumat get yang bergantung pada terowong.

route-nopull ialah keputusan yang lebih luas daripada yang kelihatan. Ia menghalang klien daripada menerima laluan yang ditolak dan pilihan gaya DHCP sebagai satu kumpulan, yang merupakan dasar berbeza daripada menapis satu pilihan.

Tulis senarai laluan dari aplikasi ke luar

Mulakan dengan apa yang pengguna benar-benar buka, kemudian tambah bahagian sokongan. Aplikasi di 10.60.20.15 membayangkan subrangkaiannya 10.60.0.0/16, dan nama peribadi membayangkan penyelesai yang menjawabnya. Oleh itu pengguna yang meminta satu aplikasi memerlukan dua destinasi dan satu keputusan DNS. Segala sesuatu di luar senarai itu berada di luar skop secara binaan, dan itulah yang menjadikan dasar itu boleh disemak.

Pada pelayan yang bekerjasama, itu menjadi dua laluan yang ditolak, dan tiada satu pun daripadanya ialah ubah hala. Kekalkan topologi terowong dan nilai get laluan yang dibekalkan oleh perkhidmatan sedia ada.

Apabila hanya sebahagian pengguna memerlukan dasar ini, gunakannya mengikut klien atau kumpulan. Menukar penghalaan semua orang untuk membaiki keperluan satu pasukan ialah cara terowong berpecah menjadi gangguan.

Biarkan DNS mengikut laluan yang sama

Laluan ke penyelesai bukanlah dasar penyelesai. Pada klien systemd-resolved, hasil semantik ialah domain penghalaan untuk ruang nama peribadi yang menunjuk ke penyelesai dalaman, dan itulah yang menyebabkan hanya nama tersebut menggunakannya. Klien Windows memerlukan mekanisme dasar ruang nama sendiri sebagai gantinya. Baris pelayan DNS dalam profil tidak memasang mana-mana satu daripadanya dengan sendirinya.

Periksa apa yang dipilih oleh sistem pengendalian dan bukan apa yang diminta oleh profil. Dalam Linux, resolvectl status menunjukkan domain dan pelayan bagi setiap pautan; dalam Windows, jadual dasar ruang nama ialah bukti yang setara.

Pastikan penyelesai boleh dicapai melalui terowong, jika tidak dasar menunjuk ke alamat yang tidak boleh ditanya. Alamat penyelesai yang tidak dicapai oleh terowong menukar dasar yang berfungsi menjadi tamat masa.

Sahkan kedua-dua separuh semasa sambung semula

Sambung semula klien selepas perubahan dan periksa laluan berkesan ke alamat peribadi dan ke alamat awam. Kemudian selesaikan nama peribadi dan nama awam dan pastikan setiap satu menggunakan penyelesai yang dimaksudkan. Laman web awam yang dimuatkan hanya membuktikan separuh kedua, dan itulah separuh yang biasanya berfungsi secara kebetulan.

Catat dasar yang siap dalam satu ayat: awalan dan nama ini menggunakan sambungan ini, segala yang lain mengikut laluan tempatan. Kemudian simpan dalam profil dan bukannya membaiki tetapan penyesuai selepas setiap log masuk.