Kif it-tunnel maqsum jiddeċiedi liema traffiku juża l-VPN

Tunnel maqsum huwa politika ta' routing espressa bħala sett ta' regoli, u il-klijent huwa biss dak li jinstallahom. Is-separazzjoni sseħħ f'żewġ postijiet: regoli ta' tqabbil li jagħżlu triq għal kull pakkett, u rabtiet li jżommu applikazzjoni fuq interface waħda x'jgħid it-tabella. Liema mekkaniżmu l-klijent tiegħek jiddependi fuqu jispjega ħafna mill-mistħijiet li jirrappurtaw in-nies.

Politika li tista' tiddikjara f'linja waħda tista' tiġi ttestjata. Politika deskritta bħala navigazzjoni aktar malajr mhijiex, u mhux se tgħidlek liema regola għandek tbiddel meta talba tmur il-mod ħażin.

Il-klijent jinstalla regoli, il-qalba tagħmel l-għażla

Meta t-tunnel jitla', il-klijent iżid rotot u spiss regoli ta' politika fl-istess tabella li jużaw l-interfaces l-oħra tiegħek. Kull pakkett imbagħad jasal għal tfittxija li tqabbel id-destinazzjoni tiegħu ma' kull prefiss kandidat u żżomm l-aktar qbil speċifiku, filwaqt li l-prijorità ssolvi l-ugwaljanzi bejn regoli li jindikaw tabelli differenti. Xejn f'dik it-tfittxija ma jaf li l-pakkett ġie minn tab tal-browser u mhux minn xogħol ta' backup. Ir-regola li tirbaħ hija dik li tistabbilixxi t-triq, u tista' taqraha qabel u wara l-bidla.

Huwa għalhekk li tunnel maqsum jista' jidher arbitrarju. Żewġ destinazzjonijiet f'applikazzjoni waħda jistgħu jieħdu triqat differenti sempliċement għax prefiss wieħed huwa iżjed dejjaq mill-ieħor.

L-istess għażla teżisti fuq kull pjattaforma, għalkemm l-ismijiet jinbidlu. Windows jimbotta d-deċiżjoni fil-pjattaforma tal-filtri tiegħu, Android jesponi lista tal-permessi għal kull app permezz tas-servizz VPN tiegħu, u macOS iqabbad it-tunnel ma' tagħmir li għadu jobdi t-tabella tar-routing. In-noti tar-routing ta' Microsoft jixirqu jinqraw għall-każ ta' Windows, u gwida miktuba għal pjattaforma waħda rari tgħaddi mingħajr bidla għal oħra.

Ir-rabta għal kull app u l-prefissi tad-destinazzjoni huma għodod differenti

Politika tad-destinazzjoni tistaqsi fejn sejjer il-pakkett u tikkonsulta t-tabella tar-rotot jew regola ta' politika. Politika għal kull app tistaqsi liema program fetaħ is-socket, u l-pjattaforma żżomm dak il-program fuq l-interface tat-tunnel anki meta rotta aktar speċifika tindika x'imkien ieħor. It-tieni hija aktar qawwija għax tibqa' għaddejja wara bidliet fit-tabella, iżda tkopri biss proċessi li l-pjattaforma tista' tattribwixxi. Proċess ta' għajnuna, browser inkorporat, jew servizz li jiftaħ il-konnessjoni tiegħu stess jista' ma jirtix ir-rabta li assumejt.

L-ebda waħda miż-żewġ approċċi ma tibqa' għaddejja b'politika bbażata fuq l-ismijiet mingħajr għajnuna. L-indirizzi ta' siti kbar iduru bejn netwerks tal-kontenut, għalhekk l-iffissar ta' isem ta' host ma' ftit prefissi jipproduċi regola li bil-kwiet tieqaf taqbel. Politika li trid issegwi l-ismijiet teħtieġ komponent konxju tar-resolver minflok rotta statika.

Id-DNS u l-iswiċċ tas-sigurtà jsegwu r-regoli tagħhom stess

Ir-riżoluzzjoni tal-ismijiet hija deċiżjoni separata mir-routing tal-pakketti, u tunnel maqsum normalment irid żewġ resolvers: dak tal-kumpanija għall-ismijiet interni, u dak lokali għal kull ħaġa oħra. Il-klijent jista' jinstalla settijiet DNS għal kull interface, jagħti l-mistoqsijiet lil resolver intermedjarju, jew iħalli l-default tas-sistema ma jintmess. Browser bir-resolver encrypted tiegħu stess jevita t-tliet arranġamenti. Ittestja tfittxija minflok tassumi li r-resolver segwa r-rotta.

L-iswiċċ tas-sigurtà jżid filtru fuq, u dak il-filtru mhux dejjem jiddistingwi esklużjoni maħsuba minn tnixxija aċċidentali. Xi klijenti jibblukkaw kollox barra t-tunnel filwaqt li oħrajn jippermettu l-esklużjonijiet li tiddikjara l-politika, għalhekk aqra liema mġiba timplimenta tiegħek qabel ma tiddependi fuq waħda minnhom.

Iċċekkja s-separazzjoni miż-żewġ naħat

Ittestja t-triq inkluża u t-triq eskluża separatament, u ġġudika r-riżultat bl-isem tal-interface u mhux bl-indirizz pubbliku. Dawn il-kmandi jassumu host Linux bit-tagħmir tat-tunnel diġà mtella'. Ibdel 203.0.113.10 ma' destinazzjoni li l-politika tiegħek iddawwar 'il ġewwa, u 198.51.100.25 ma' waħda li tibgħat 'il barra.

ip route get 203.0.113.10
ip route get 198.51.100.25
resolvectl query intranet.example.com
curl -s --interface tun0 https://example.com -o /dev/null -w '%{http_code}\n'

Aqra l-ewwel żewġ tweġibiet flimkien, għax l-interface imsemmija f'kull waħda turi jekk is-separazzjoni poġġietx dik id-destinazzjoni fuq it-tunnel. It-talba lir-resolver turi liema server wieġeb għall-isem intern, u l-aħħar kmand jipprova li t-tagħmir tat-tunnel jista' jġorr talba xorta waħda. Falliment fit-tieni linja waqt li l-ewwel tirnexxi jfisser li l-politika qed tagħmel eżattament dak li ntqalilha.

Irrepeti s-sett wara konnessjoni mill-ġdid u wara bidla fin-netwerk. It-tiġdid tal-kirja u l-ħawwad tal-interfaces huma fejn separazzjoni tieqaf taqbel mal-ħsieb li għalih inbniet, u output imħejji minn kull esekuzzjoni jagħmel id-deriva ovvja.