Subnet downstream kontra VPN tad-desktop: eskludi t-transitu, mhux l-apps
Bypass għal kull app jikklassifika biss il-ħruġ lokali. Il-mezzi wara l-istazzjon tax-xogħol jeħtieġu l-politika tagħhom stess għad-dħul, it-trasferiment u t-triq tar-ritorn.
Magna waħda, żewġ xogħlijiet, firewall wieħed: uplink Wi-Fi, subnet Ethernet żgħir warajh, u klijent VPN tad-desktop li jassumi li kull ma joħroġ mill-magna huwa lokali. L-apps mnedija lokalment joħorġu mit-triq tal-ħruġ lokali. Il-mezzi wara l-istazzjon tax-xogħol jaslu fuq il-port Ethernet u jeħtieġu deċiżjoni tat-trasferiment. Esklużjoni miktuba għall-ewwel triq qatt ma tara t-tieni, u għalhekk il-browser jaqbeż il-mina filwaqt li l-mezzi ma jagħmlux hekk.
Żewġ toroq tal-pakketti, politika waħda
| Origin | Path | Decision owner |
|---|---|---|
| Application on the workstation | OUTPUT then egress | The VPN app's routing policy |
| Device behind the workstation | PREROUTING then FORWARD | The workstation's own forwarding policy |
L-ewwel ringiela hija dik li jiddeskrivu l-biċċa l-kbira tal-gwidi split-tunneling. It-tieni hija konfigurazzjoni tar-router li tiġri li tgħix fuq l-istess magna. Li tgħaqqadhom f'mudell mentali wieħed hija l-iżball; jaqsmu kernel, iżda mhux politika. Iġbed iż-żewġ toroq qabel ma timmodifika xi regola, u l-bqija tad-disinn joħroġ minn liema triq hija nieqsa.
It-tabella tispjega wkoll għaliex magna waħda tista' tgħaddi minn test u tfalli fi ħdan ieħor. Il-browser fuq l-istazzjon tax-xogħol jipprova t-triq lokali; laptop imdaħħal fil-port Ethernet jipprova t-triq tat-trasferiment. Ivvalida kull bidla bi t-tnejn, inkella tat-tieni tibqa' mhux ittestjata kemm-il darba jerġa' jitgħabba l-browser.
X'inhu li fil-fatt jikklassifika esklużjoni tal-app
Esklużjoni għal kull app normalment taħdem billi timmarka pakketti minn proċess jew minn utent, imbagħad iddawwar it-traffiku mmarkat barra mill-mina. Din hija kostruzzjoni tal-ħruġ lokali. Pakkett minn mezz downstream m'għandux proċess lokali, għalhekk qatt ma jaqbel mas-selettur, tkun xi tkun is-selettur.
Tkun xi tkun is-selettur, iż-żewġ listi mhumiex l-istess lista, u dan huwa l-punt kollu. Il-gwida Mullvad għal Linux tiddeskrivi marki li jikkunsmaw il-firewall u l-politika tal-instradar tagħha, u l-eżempji tagħha jimmiraw il-ħruġ lokali; mhumiex deskrizzjoni appoġġata ta' router downstream. Li tikkopjahom jagħti magna li temmen li għandha esklużjoni waqt li tibgħat kollox fil-mina.
Ikteb il-kuntratt tat-transitu
Semmi flimkien il-prefiss tas-sors downstream u l-interface tad-dħul, imbagħad illimita dak il-prefiss fid-dħul. Mingħajr il-limitazzjoni, kull mezz li jasal għall-port jista' jitlob indirizz eskluż u joħroġ mill-bypass. Ittrattah bħala żewġ mistoqsijiet: jistgħu dawn l-hosts jużaw dan l-uplink xejn, u jistgħu jaslu għall-istazzjon tax-xogħol jew għall-firxiet privati tal-mina? Dawk huma permessi addizzjonali, mhux effetti sekondarji tal-għażla tal-uplink.
Ippermetti t-trasferiment, imbagħad iffiltrah. Il-gateway Linux jeħtieġ trasferiment attivat, regoli li jippermettu t-traffiku maħsub fiż-żewġ direzzjonijiet, u jew rotta tar-ritorn 'il fuq jew traduzzjoni tas-sors limitata apposta. NAT waħdu ma jagħżilx l-uplink u ma jagħtix passaġġ minn filtru; jerġa' jikteb indirizz biss wara dawk id-deċiżjonijiet.
Il-klassifikazzjoni għat-transitu trid isseħħ qabel id-deċiżjoni tar-rotta tat-trasferiment, jiġifieri fl-istadju prerouting u mhux output. Regola mqiegħda wara d-deċiżjoni xorta tista' tbiddel il-pakkett, iżda ma tistax tbiddel fejn il-pakkett diġà ntbagħat.
Il-marki huma tal-app li tippossjedihom
Il-valuri tal-marki, in-numri tat-tabelli u l-prijoritajiet tal-ktajjen huma parti mill-politika tal-app VPN, mhux kostanti eterni. Netwerk li jiddependi milli jiddaħħal regola f'tabella li tipproduċi mill-ġdid programm ieħor se jinkiser fl-aġġornament li jmiss, normalment waqt qagħda mill-ġdid u mhux f'waqt komdu.
Iż-żieda ta' tieni katina bażi b'verdict accept mhux bilfors tegħleb id-drop ta' katina aktar tard. Il-ktajjen bażi għandhom snanar u prijoritajiet, u l-ewwel verdict fl-ordni jirbaħ; accept f'katina waħda ma jannullax drop li katina oħra tilħaq l-ewwel. Ħares lejn is-sett sħiħ ta' regoli u l-ordni tal-politika tal-instradar, mhux lejn il-counter wieħed li żdied. Counter jipprova li regola marret, qatt li l-verdict tagħha kien dak applikat.
Integra, jew ċaqlaq is-subnet
Iż-żewġ disinni jvarjaw f'min jippossjedi l-bypass. Disinn integrat iżomm magna waħda u politika waħda, bi prezz li jiddependi miċ-ċiklu tal-ħajja tat-tabelli tal-app VPN u minn sett ta' marki li d-dokumentazzjoni tiegħu tista' tbiddel. Router iddedikat għan-netwerk downstream ineħħi għal kollox dik id-dipendenza: is-subnet għandu l-uplink tiegħu stess, u l-istazzjon tax-xogħol jibqa' klijent mingħajr rwol ta' trasferiment.
Agħżel it-tieni meta n-netwerk downstream irid jibqa' jaħdem matul l-aġġornamenti tal-VPN, jew meta ħadd ma jista' jittestja l-politika integrata wara kull rilaxx. Agħżel l-ewwel biss meta l-integrazzjoni hija dokumentata u xi ħadd jieħu ħsiebha.
Ivverifika l-konfini f'erba' stati: konness, qiegħed jerġa' jingħaqad, imblukkat apposta u mwaqqaf. Iċċekkja r-riżoluzzjoni tal-ismijiet u ż-żewġ familji tal-indirizzi f'kull wieħed, għax bypass li jnixxi d-DNS mhux l-esklużjoni li ddisinjajt. It-test għandu juri l-konfini preċiż, mhux biss li paġna waħda tgħabbiet.