VPN telefon ke rumah: jadikan firewall pintu keluar internet anda

Menyambungkan telefon ke terowong rumah dan membuka perkongsian fail LAN membuktikan terowong berfungsi. Ia tidak membuktikan permintaan internet telefon keluar melalui rumah. Perbezaan antara kedua-dua hasil itu ialah dasar penghantaran tambah laluan, bukan kotak semak lain pada telefon. Ia juga perbezaan yang dianggap kebanyakan orang sudah mereka konfigurasikan.

Tiga keputusan menghasilkan laluan keluar: apa yang telefon hantar ke terowong, ke mana gateway rumah menghantarnya, dan apa yang berlaku apabila terowong tiada. Setiap satu mempunyai mod kegagalan yang kelihatan seperti yang lain dari skrin telefon.

Dua lompatan, dua dasar

Sambungan luar berakhir di pendengar VPN rumah. Paket dalaman ialah objek berasingan yang mesti dihantar ke suatu tempat, dan penghantaran ialah keputusan firewall yang berbeza daripada menerima terowong sejak awal.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Pada penghala rumah biasa, ini hidup dalam set peraturan yang berbeza. Menerima terowong ialah dasar input pada antara muka VPN; menghantar trafik telefon ke internet ialah dasar penghantaran tambah terjemahan sumber yang diperlukan oleh uplink. Penghala yang menerima terowong dan tidak menghantar apa-apa menghasilkan telefon yang menunjukkan bersambung dan tidak memuatkan sebarang halaman.

Jika perkhidmatan VPN berjalan pada mesin berasingan di dalam rumah, tambah satu lompatan. Penghala kini melihat trafik yang datang dari mesin itu, jadi peraturannya terpakai pada alamat pelayan dan bukan alamat terowong telefon, dan terjemahan sumber boleh membuat setiap telefon kelihatan seperti satu hos.

Pendengar bukan penapis

Tentukan di mana penguatkuasaan berlaku selagi maklumat yang anda perlukan masih wujud. Pada penghala, alamat terowong telefon kelihatan dan boleh dipadankan secara langsung. Di sebalik terjemahan kedua ia sudah tiada, dan peraturan yang ditulis untuk alamat telefon senyap tidak sepadan dengan apa-apa.

Inilah sebab biasa sesuatu dasar berfungsi untuk komputer riba tetapi tidak untuk telefon. Komputer riba bersambung terus ke penghala, telefon bersambung ke pelayan yang menghantar melalui penghala, dan hanya laluan pertama mengekalkan alamat yang dijangka oleh peraturan. Peraturan itu tidak salah; ia memadankan nilai yang tidak lagi wujud pada titik itu.

Tuliskan laluan dengan alamat sumber seperti yang kelihatan pada setiap titik penguatkuasaan. Satu rajah itu menyelesaikan kebanyakan kes ini sebelum mana-mana peraturan diedit.

Apa yang telefon sebenarnya mesti hantar

Telefon yang hanya menerima laluan ke subnet rumah hanya menghantar trafik subnet itu ke terowong. Semua yang lain keluar melalui rangkaian mudah alih, itulah sebabnya perkongsian fail berfungsi dan permintaan internet tidak pernah sampai ke rumah.

Liputan terowong penuh ialah keputusan penghalaan di pihak klien, dan ia mesti ditetapkan dengan mekanisme yang disokong platform, bukan diandaikan daripada profil yang dipasang. Selepas ditetapkan, laluan kembali ke pelayan VPN itu sendiri mesti kekal di luar terowong, jika tidak klien tidak dapat mengekalkan pengangkutannya sendiri.

DNS wajar mendapat keputusan sendiri, kerana bahagian itulah yang paling mungkin menyimpang daripada trafik lain. Alamat penyelesai dalam profil ialah cadangan yang dikendalikan klien secara berbeza, dan aplikasi dengan penyelesai tersulit sendiri boleh mengambil laluan yang sama sekali berasingan. Jika dasar rumah bergantung pada pertanyaan sampai ke penyelesai tertentu, kuatkuasakannya di tempat trafik benar-benar melalui, atau terima bahawa sesetengah pertanyaan tidak akan berbuat demikian. Pertanyaan yang memintas penyelesai anda tidak pernah sampai ke peraturan yang ditulis untuknya.

IPv6 tergolong dalam perenggan yang sama dengan DNS, bukan dalam lampiran. Terowong IPv4 penuh tidak berkata apa-apa tentang trafik AAAA, dan telefon pada rangkaian mudah alih dwi-tindanan akan dengan senang hati menggunakan laluan asli untuknya. Pilih pengangkutan atau penyekatan secara eksplisit.

Apa yang firewall boleh dan tidak boleh lihat

Gateway boleh bertindak atas apa yang didedahkan oleh titik penguatkuasaannya: alamat, port, protokol, antara muka dan metadata sambungan. Permintaan HTTPS yang dihantar tidak menyerahkan kandungan halaman atau kata laluan semata-mata kerana ia melintasi terowong rumah.

Had itu wajar dinyatakan kerana frasa «hantarkan melalui firewall» membayangkan lebih banyak pemeriksaan daripada yang dilakukan penghala rumah. Peraturan destinasi, dasar DNS dan proksi lapisan aplikasi ialah tiga kawalan berbeza dengan tiga kos penggunaan berbeza.

Jangan anggap ciri yang dikonfigurasikan untuk klien LAN rumah terpakai pada antara muka VPN. Keahlian zon ialah pilihan konfigurasi, dan antara muka VPN yang tidak berada dalam zon yang betul tidak mewarisi satu pun peraturan yang anda uji dari sofa.

Tentukan keadaan terputus

Apabila terowong tidak tersedia, telefon sama ada kembali ke rangkaian mudah alih atau enggan menghantar trafik. Kedua-duanya munasabah, dan hanya satu daripadanya sepadan dengan apa yang dipercayai kebanyakan orang telah mereka konfigurasikan.

Kembali ke rangkaian mudah alih itu mudah dan bocor mengikut takrif: saat terowong jatuh ialah saat permintaan keluar melalui laluan pembawa. Penyekatan lebih kuat dan menjadikan telefon bergantung pada rumah boleh dicapai, yang merupakan kos ketersediaan sebenar bagi seseorang yang mengembara. Tiada satu pun tingkah laku itu pepijat; kedua-duanya produk, dan anda memilih antaranya sama ada anda mengatakannya atau tidak.

Uji pilihan itu daripada menganggapnya. Hentikan perkhidmatan rumah, kemudian cuba satu permintaan daripada pelayar telefon dan satu daripada aplikasi yang berjalan di latar belakang. Menyambung semula kemudian tidak membatalkan permintaan yang sudah keluar.

Akhiri dengan dua pemeriksaan terkawal daripada telefon itu sendiri: satu operasi dibenarkan yang sepatutnya melintasi rumah, dan satu penolakan yang sepatutnya dikuatkuasakan oleh dasar rumah. Sahkan gateway merekodkan aliran yang anda jangkakan, dalam keluarga alamat yang anda jangkakan, selepas menyambung semula. Telefon yang memaparkan Bersambung ialah permulaan pengesahan itu, bukan sekali-kali penghujungnya.