M’hemmx swiċċ biex teskludi din l-app: agħti lill-proċess is-sors tiegħu

Ir-rotta tqabbel indirizzi, mhux ismijiet ta’ proċessi. Agħti lill-programm eskluż is-sors u t-tabella tiegħu, jew ċaqlaq id-deċiżjoni lejn ir-router, fejn dan huwa onest.

Programm wieħed għandu juża l-konnessjoni ordinarja filwaqt li kollox ieħor jibqa’ fit-tunnel, u il-klijent m’għandux swiċċ għal dan. M’hemmx menu moħbi x’tissib lanqas. Rotta tintgħażel minn oqsma ġewwa l-pakkett, u l-pakkett iġorr indirizzi u portijiet minflok l-identità tal-proċess li ħoloq, għalhekk esklużjoni trid tiġi espressa f’wieħed minn dawk l-oqsma. Segwi pakkett darba u l-għażliet disponibbli jieqfu jkunu misterjużi.

Għalfejn il-klijent ma jistax joffrih

Ir-rotta skont id-destinazzjoni tqabbel l-indirizz tad-destinazzjoni mal-prefissi u żżomm l-itwal tqabbil. F’dak il-mument kull pakkett jidher l-istess, x’inhu li pproduċieh. Ir-rotta skont il-politika tas-sors tferrex it-tqabbil għall-indirizz tas-sors, u dan huwa l-ganċ li juża kull soluzzjoni prattika: ibdel is-sors, u tabella oħra ssir eliġibbli.

Il-portijiet ma jgħinux. Esklużjoni bil-port kellha tiġi evalwata qabel it-tfittxija tad-destinazzjoni, u l-port m’għandu ebda sehem f’dik id-deċiżjoni. Kull ma jiġi reklamat bħala esklużjoni bbażata fuq il-port fil-fatt jeskludi b’qasam ieħor u jiddeskrivih b’mod laxk.

Ir-rotta vera skont l-applikazzjoni teżisti fejn il-pjattaforma żiedet il-makkinarju għaliha, bħal sejħiet tal-filtru fuq Windows jew l-irbit tas-servizz VPN fuq Android. Istanza desktop ta’ OpenVPN ma ġġib xejn minn dan, u ebda bandiera tal-konfigurazzjoni ma toħroġ bih.

Linux: imma marka lill-proċess, imbagħad rotta l-marka

L-approċċ l-aktar nadif jorbot id-deċiżjoni mal-proċess li jippossjedi s-sokit. It-tqabbil owner jaħdem għat-traffiku ġġenerat lokalment fil-katina OUTPUT, għalhekk marka applikata hemmhekk tista’ tagħżel tabella separata:

iptables -t mangle -A OUTPUT -m owner --uid-owner 1001 -j MARK --set-mark 0x1
ip rule add fwmark 0x1 table 200
ip route add 192.168.1.0/24 dev eth0 src 192.168.1.0 table 200
ip route add default via 192.168.1.1 dev eth0 table 200

Il-pakketti mill-utent 1001 imbagħad jikkonsultaw it-tabella 200 u joħorġu mill-gateway ordinarju, filwaqt li t-tabella prinċipali għadha tibgħat kollox ieħor fit-tunnel. It-tqabbil owner japplika biss għall-pakketti ġġenerati lokalment, li huwa eżattament it-traffiku li jimpurtah hawnhekk, u ma jistax jikklassifika pakketti mibgħuta għal host ieħor. Ivverifika bl-għodod u mhux bl-intenzjoni: ss -tnp juri l-indirizz lokali u l-proċess sid tal-konnessjonijiet stabbiliti, u ip route get 1.1.1.1 mark 0x1 juri liema tabella tagħżel il-marka.

Spazju tal-ismijiet tan-netwerk huwa l-aktar tweġiba soda għal programm awtonomu, għax kull sokit maħluq ġo fih ikun marbut miegħu bil-bini, għalhekk proċessi awżiljari u konnessjonijiet tfal jiret l-imġiba mingħajr ma jiġu kklassifikati xejn. L-ispiża hija plaming: par veth, indirizz f’kull tarf, u rotta default ġewwa l-ispazju tal-ismijiet li tipponta lura lejn il-host.

ip netns add novpn
ip link add veth-host type veth peer name veth-ns
ip link set veth-ns netns novpn
ip addr add 10.200.0.1/24 dev veth-host
ip netns exec novpn ip addr add 10.200.0.2/24 dev veth-ns
ip netns exec novpn ip route add default via 10.200.0.1

Windows: id-destinazzjoni għadha tiddeċiedi

Windows jagħżel l-interface tal-ħruġ mid-destinazzjoni, għalhekk programm li jrid triq oħra jrid ibiddel xi ħaġa li l-istack jikkonsulta qabel dik l-għażla. ForceBindIP ikopri l-ewwel nofs: iniedi programm bis-sokits tiegħu diġà marbuta ma’ indirizz lokali li ssemmi. Dan waħdu ma jbiddilx minn liema interface joħroġ il-pakkett, għax id-destinazzjoni għadha tagħżel ir-rotta. Irbot sors fuq laptop li r-rotta default tiegħu tipponta fit-tunnel u l-pakkett xorta jidħol fit-tunnel.

Is-sintomu għandu forma li tinqara ladarba tkunu tafu. Dan jgħodd għal indirizz LAN li l-interface magħżula tilħaq direttament u jfalli għal kull ħaġa fuq l-internet li r-rotta tagħha tipponta lejn it-tunnel. Jidher ukoll li jaħdem sakemm il-programm jagħti xogħol lil awżiljar, għax awżiljar li jiftaħ is-sokit tiegħu qatt ma ntgħarraf bl-irbit.

Ċaqlaq id-deċiżjoni meta proċess wieħed huwa l-unità żbaljata

Jekk il-ħtieġa vera hija apparat u mhux programm, poġġih fuq SSID jew VLAN tiegħu stess u ħalli r-router jiddeċiedi: dak is-sors jieħu t-triq normali filwaqt li sorsi oħra jużaw it-tunnel. Magna tal-gateway dedikata hija d-disinn onest l-ieħor: iżżomm il-VPN u tirċievi biss id-destinazzjonijiet li r-router jibgħatilha. Fuq VLAN il-politika tkopri kull fluss li l-apparat jiftaħ, inklużi l-proċessi awżiljari li kissru l-approċċ ta’ Windows. Il-bdil huwa l-ambitu: żewġ programmi fuq dak l-apparat ma jistgħux jiġu trattati b’mod differenti aktar.

It-tnejn huma politiki tas-sors jew tad-destinazzjoni b’ambitu li tistgħu tgħidu f’sentenza waħda. Lanqas waħda mhija skont l-applikazzjoni, u disinn li jbigħ ruħu bħala skont l-applikazzjoni jfalli l-ewwel darba li l-programm jiddelega x-xogħol tiegħu lil proċess ieħor.

Artikli relatati