Żomm ir-rotot privati u warrab ir-ridirezzjoni: mina maqsuma OpenVPN
Mina għal netwerks privati biss teħtieġ żewġ regoli: il-prefissi privati jgħaddu minnha, u n-navigazzjoni ordinarja żżomm il-passaġġ lokali tagħha. It-tħassir ta’ rotta awtomatika mhuwiex politika.
Il-mina titla’, l-applikazzjoni tgħabbi, u mbagħad kull ħaġa oħra fuq il-laptop tibda tġib ruħha b’mod stramb. Dan huwa l-għamla tas-soltu ta’ politika privata biss implimentata billi titħassar linja waħda. It-tneħħija ta’ rotta awtomatika mibgħuta tabilħaqq tbiddel fejn tmur it-traffiku, iżda ma tgħidx fejn għandu jmur it-traffiku minflok, u ma tmissx ir-riżoluzzjoni tal-ismijiet xejn. Politika teħtieġ żewġ nofsijiet pożittivi qabel ma tista’ tiġi ttestjata.
It-tħassir tar-ridirezzjoni huwa biss nofs il-bidla
Ridirezzjoni tal-mina sħiħa u politika privata biss ivarjaw f’dak li jiddikjaraw dwar id-dinja. Ir-ridirezzjoni tippretendi kull destinazzjoni, filwaqt li l-politika privata tippretendi lista u tħalli l-bqija fil-kwiet. It-tħassir tal-pretensjoni mingħajr ma tinkiteb il-lista jipproduċi klijent li ma jilħaq xejn barra l-LAN, u dan jidher qisu falliment fl-instradar aktar milli vojt fil-politika. Ikteb il-lista qabel ma tneħħi l-pretensjoni, u mbagħad l-ordni ta’ dawn iż-żewġ passi ma jibqax importanti.
Iż-żewġ nofsijiet huma rekwiżiti mhux valori awtomatiċi. Il-prefissi privati għandhom jidħlu fil-mina, u d-destinazzjonijiet ordinarji għandhom iżommu l-passaġġ li kellhom qabel il-konnessjoni.
Jekk organizzazzjoni timponi mina sħiħa, xejn minn dan ma japplika. Id-disinn privat biss jappartjeni lil varar fejn l-instradar maqsum huwa approvat.
pull-filter hija qbil, mhux swiċċ
Id-direttiva pull-filter tneħħi l-għażliet mibgħuta li isimhom jaqbel ma’ prefiss, u dan huwa kollox li tagħmel. L-injorar tar-ridirezzjoni jħalli kull għażla oħra mibgħuta fil-post tagħha, li normalment huwa dak li trid: ir-rotot, is-settings tad-DNS u l-valur tal-gateway tar-rotta xorta jaslu. Ma tistax tneħħi wkoll direttiva miktuba fil-profil lokali, għax il-filtraġġ japplika għal dak li tgħaddi s-server.
Irreżisti t-tentazzjoni li tinjora kull għażla li tibda b’route. Dak il-mudell iwarrab ukoll ir-rotot privati li l-konnessjoni teħtieġ, u jista’ jaqa’ l-informazzjoni tal-gateway li l-mina tiddependi fuqha.
route-nopull hija deċiżjoni usa’ milli tidher. Hija twaqqaf lill-klijent milli jaċċetta r-rotot mibgħuta u l-għażliet stil DHCP bħala grupp, li hija politika differenti milli tiffiltra għażla waħda.
Ikteb il-lista tar-rotot mill-applikazzjoni ’l barra
Ibda minn dak li l-utent fil-fatt jiftaħ, imbagħad żid il-partijiet ta’ appoġġ. Applikazzjoni f’10.60.20.15 timplika s-subnet tagħha 10.60.0.0/16, u isem privat jimplika r-riżolvitur li jwieġeb għalih. Għalhekk utent li talab applikazzjoni waħda jeħtieġ żewġ destinazzjonijiet u deċiżjoni waħda tad-DNS. Kull ħaġa lil hinn minn dik il-lista hija barra mill-ambitu b’kostruzzjoni, u dan huwa dak li jżomm il-politika reviżabbli.
Fuq server li jikkoopera dawn isiru żewġ rotot mibgħuta, u l-ebda waħda minnhom mhija ridirezzjoni. Żomm it-topoloġija tal-mina u l-valuri tal-gateway tar-rotta li jipprovdi s-servizz eżistenti.
Meta biss xi utenti jeħtieġu din il-politika, applikaha għal kull klijent jew għal kull grupp. Il-bidla tal-instradar ta’ kulħadd biex tiġi fissa l-ħtieġa ta’ tim wieħed hija l-mod kif mina maqsuma ssir interruzzjoni.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
Ħalli d-DNS isegwi l-istess passaġġ
Rotta lejn ir-riżolvitur mhijiex politika tar-riżolvitur. Fuq klijent systemd-resolved ir-riżultat semantiku huwa dominju tal-instradar għall-ispazju tal-ismijiet privat li jindika r-riżolvitur intern, u dan huwa dak li jagħmel biss dawk l-ismijiet jużawh. Klijent Windows jeħtieġ minflok il-mekkaniżmu tiegħu tal-politika tal-ispazju tal-ismijiet. Linja tas-server DNS fil-profil ma tinstalla l-ebda waħda minnhom waħedha.
Iċċekkja dak li għażel is-sistema operattiva u mhux dak li talab il-profil. Fuq Linux resolvectl status turi d-dominju u s-server għal kull konnessjoni; fuq Windows it-tabella tal-politika tal-ispazju tal-ismijiet hija l-prova ekwivalenti.
Żomm ir-riżolvitur aċċessibbli permezz tal-mina, inkella l-politika tindika indirizz li ma jistax jiġi mistoqsi. Indirizz tar-riżolvitur li l-mina ma tilħaqx ibiddel politika li taħdem f’skadenza ta’ ħin.
Ivverifika ż-żewġ nofsijiet meta terġa’ tikkonnettja
Erġa’ qabbad il-klijent wara l-bidla u eżamina r-rotta effettiva lejn indirizz privat u lejn wieħed pubbliku. Imbagħad irriżolvi isem privat u isem pubbliku u kkonferma li kull wieħed uża r-riżolvitur maħsub. Li sit web pubbliku jitgħabba jipprova biss it-tieni nofs, u dak huwa n-nofs li normalment jaħdem b’kumbinazzjoni.
Irreġistra l-politika mitmuma f’sentenza waħda: dawn il-prefissi u l-ismijiet jużaw din il-konnessjoni, kull ħaġa oħra ssegwi l-passaġġ lokali. Imbagħad żommha fil-profil minflok ma ssewwi s-settings tal-adapter wara kull dħul.