Split tunneling ibbażat fuq l-app jew fuq id-destinazzjoni: liema tagħżel

Split tunneling ibbażat fuq l-app u fuq id-destinazzjoni mhumiex żewġ settings għall-istess xogħol. Wieħed jistaqsi liema proċess qed jibgħat pakkett; l-ieħor jistaqsi fejn se jmur dak il-pakkett. Regola mibnija għall-ewwel domanda tonqos bil-kwiet meta t-traffiku ġej minn proċess awżiljarju, u regola mibnija għat-tieni tonqos meta isem tal-host jiġi riżolt f'indirizz li qatt ma elenkajt. Agħżel l-oġġett li jaqbel mal-ħtieġa, imbagħad ipprovah b'żewġ pakketti tat-test: wieħed li għandu juża t-tunnel u wieħed li m'għandux.

Iż-żewġ regoli jaħdmu fuq saffi differenti

Regola tal-app tiġi infurzata fuq is-saff tan-netwerk, kontra l-identità li s-sistema operattiva tagħti lill-mibgħat. Fuq Android dik hija l-UID wara pakkett, u s-servizz tal-VPN jiddeċiedi għal kull UID jekk it-traffiku jidħolx fit-tunnel. Xejn ma jiġi mistoqsi dwar id-destinazzjoni, għalhekk l-app magħżula tista' tilħaq kull ħaġa u ebda app oħra ma tista' tilħaq in-netwerk intern.

Regola tad-destinazzjoni tiġi infurzata fuq il-pakkett stess. L-interface tat-tunnel tippossjedi sett ta' prefissi, it-tabella tal-routing tibgħat traffiku li jaqbel fiha, u l-proċess li jibgħat mhuwiex rilevanti. Għalhekk regola tad-destinazzjoni tkopri servizz, printer jew xogħol batch li ħadd ma ftakar jelenka, u għalhekk ma tistax tiġi espressa bħala eżattament dan il-programm fuq pjattaforma li l-klijent tagħha qatt ma jħares lejn il-proċess.

Regoli tal-app jaqblu ma' klijenti mobbli u aġenti ġestiti

Android jesponi l-għażla direttament: VpnService.Builder.addAllowedApplication() u addDisallowedApplication() jieħdu ismijiet tal-pakketti u jinfurzaw id-deċiżjoni għal kull UID, kif deskritt fil-gwida tal-iżviluppatur tal-VPN ta' Android. iOS għandu ekwivalenti permezz ta' regoli VPN għal kull app ibbażati fuq identifikaturi tal-bundle, li normalment jiġu mqassma minn profil MDM aktar milli ttajpjati bl-idejn.

Il-klijenti tad-desktop huma l-punt dgħajjef. Ħafna mill-klijenti VPN ta' Windows u macOS jagħmlu routing skont id-destinazzjoni u ma joffru l-ebda għażla skont il-proċess, għax id-driver tat-tunnel jara pakketti, mhux proċessi. Jekk il-pjan tiegħek jiddependi milli jitwessa' tunnel għal applikazzjoni waħda fuq laptop, iċċekkja l-kapaċitajiet attwali tal-klijent qabel ma tiddisinja madwaru; forsi qed tagħżel bejn lista ta' destinazzjonijiet u tieni magna.

Konsegwenza li n-nies jaqsmu: fuq dawk il-pjattaformi ma tistax timita regola tal-app bir-rotot. Li żżid rotta tal-host għas-server tal-app tgħaddi t-traffiku ta' kulħadd lejn dak is-server, inkluż il-browser u l-aġġornatur.

Regoli tad-destinazzjoni jaqblu ma' listi ta' subnetworks u l-aċċessibbiltà tas-siti

WireGuard jagħmel il-mudell espliċitu. AllowedIPs huwa routing b'ċavetta kriptografika: pakkett intern li d-destinazzjoni tiegħu taqa' fil-lista ta' peer jiġi encrypted lil dak il-peer, u kull ħaġa oħra toħroġ bla encryption mit-triq normali. M'hemmx proċess x'issemmi u l-ebda ambigwità dwar x'hu inkluż.

OpenVPN jasal fl-istess post permezz tat-tabella tal-routing imbuttata. route-nopull iwaqqaf lis-server milli jiddetta r-rotot, u wara route 10.20.0.0 255.255.0.0 vpn_gateway fuq in-naħa tal-klijent tkopri eżattament il-prefiss tal-uffiċċju. IPv6 huwa dikjarazzjoni separata f'kull wieħed minn dawn il-klijenti, u li tinsiha hija l-iktar mod komuni kif tnixxi madwar split IPv4 li jidher korrett.

Isem tal-host mhuwiex rotta. Jekk il-profil joffri kamp tad-dominju, ittrattah bħala isem li l-klijent jirriżolvi darba, mhux bħala firxa ta' indirizzi permanenti; in-netwerks tat-twassil tal-kontenut u l-load balancers għada jagħtu indirizzi differenti.

Fejn iż-żewġ mudelli jinqasmu: awżiljarji, servizzi kondiviżi, riżolvaturi

Il-proċessi awżiljarji jkissru r-regoli tal-app b'mod li jidher bħal ħsara fis-server. L-aġġornatur tal-browser, rappurtatur tal-crash, servizz ta' sinkronizzazzjoni li jaħdem bħala SYSTEM u WebView inkorporat f'pakkett ieħor huma kollha identitajiet separati, għalhekk it-tixwid tat-tunnel għall-browser jista' jħalli t-talba reali barra mit-tunnel. Il-kuntrarju huwa daqstant konfuż: app eskluża li ssejjaħ librerija kondiviża ġewwa proċess imwessa' għat-tunnel xorta għandha t-traffiku tagħha fit-tunnel.

Regoli tad-destinazzjoni jinqasmu fuq servizzi kondiviżi u fuq ismijiet. Il-kondiviżjonijiet tal-fajls, il-printers, id-DNS intern u s-server tal-liċenzji kollha jgħixu fuq indirizzi, għalhekk tunnel ta' app waħda jagħti aċċess lill-browser waqt li d-drive mappat jibqa' mejjet. Dik id-differenza fil-kopertura mhijiex bug f'xi mudell, imma hija r-raġuni għala tunnel ta' app waħda tant spiss jipproduċi li l-VPN jaħdem u l-kondiviżjoni spiċċat.

Ir-riżolvaturi jaqtgħu għaż-żewġ naħat. Jekk il-klijent jistabbilixxi servers DNS interni imma s-sistema operattiva tuża DNS fuq HTTPS lejn riżolvatur pubbliku, it-tweġiba tiġi minn barra mit-tunnel u r-regola tad-destinazzjoni forsi qatt ma taqbel. Iċċekkja liema riżolvatur effettivament wieġeb qabel ma tikkonkludi li r-regola hija ħażina, u kkonferma fuq in-naħa tal-klijent jekk installax ir-riżolvatur tat-tunnel xejn. Split li jħalli d-DNS barra mit-tunnel jidher perfett fit-tabella tal-routing u xorta jonqos f'kull isem intern.

Proċedura: agħżel, applika, ivverifika

Ibda mill-ħtieġa, mhux mill-menu. Jekk l-għan huwa biss din l-app tista' tuża t-tunnel, għandek bżonn regoli tal-app u pjattaforma li tappoġġjahom. Jekk l-għan huwa dawn in-netwerks huma aċċessibbli permezz tat-tunnel, għandek bżonn prefissi. Jekk it-tweġiba hija t-tnejn, implimentahom bħala żewġ kontrolli separati u ikteb liema waħda għandha liema falliment.

Applika l-iktar forma dejqa li tista' tesprimi, imbagħad ivverifika billi tistaqsi lit-tabella tal-routing minflok l-ikona tal-istat tal-klijent:

ip route get 10.20.30.40
ip -6 route get 2001:db8:10::40
wg show wg0 allowed-ips
Get-NetRoute -DestinationPrefix 10.20.0.0/16
Find-NetRoute -RemoteIPAddress 10.20.30.40

L-ewwel żewġ linji jsemmu l-interface li destinazzjoni reali tuża; wg show jistampa l-lista tal-prefissi konfigurata; fuq Windows, Find-NetRoute iwieġeb l-istess domanda li l-stack iwieġeb meta l-pakkett jintbagħat. Jekk l-interface huwa t-tunnel, ir-regola qablet.

Imbagħad ittestja t-tieni pakkett li għandu jiġi eskluż, minn applikazzjoni differenti, lejn l-istess destinazzjoni. Irrekordja fit-ticket il-verżjoni tal-klijent, it-tip ta' regola, il-lista tal-prefissi jew tal-pakketti u ż-żewġ riżultati osservati. Dak il-par riżultati huwa dak li jgħid lill-inġinier li jmiss jekk il-politika hijiex ikkonfigurata ħażin jew jekk it-traffiku qatt ma kien jappartjeni lilha.