VPN mit-telefon id-dar: agħmel il-firewall il-ħruġ tiegħek għall-internet

Li tqabbad telefon mat-tunnel tad-dar u tiftaħ kondiviżjoni tal-fajls fuq il-LAN jipprova li t-tunnel jaħdem. Ma jipprovax li t-talbiet tal-internet tat-telefon joħorġu mid-dar. Id-differenza bejn dawn iż-żewġ riżultati hija politika tat-trasferiment flimkien ma' rotta, mhux kaxxa oħra fuq it-telefon. Hija wkoll id-differenza li ħafna nies jaħsbu li diġà kkonfigurajha.

Tliet deċiżjonijiet joħolqu l-passaġġ tal-ħruġ: x'jibgħat it-telefon fit-tunnel, fejn il-gateway tad-dar jittrasferih, u x'jiġri meta t-tunnel ma jkunx hemm. Kull wieħed għandu mod ta' falliment li mid-disk tat-telefon jidher bħall-oħrajn.

Żewġ qabżiet, żewġ politiki

Il-konnessjoni ta' barra tintemm fis-semmiegħ tal-VPN tad-dar. Il-pakkett ta' ġewwa huwa oġġett separat li jrid jiġi trasferit x'imkien, u t-trasferiment huwa deċiżjoni tal-firewall differenti milli taċċetta t-tunnel mill-bidu.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Fuq router tad-dar tipiku dawn jgħixu f'settijiet ta' regoli differenti. Li taċċetta t-tunnel hija politika tad-dħul fuq l-interfaċċja tal-VPN; li tibgħat it-traffiku tat-telefon lejn l-internet hija politika tat-trasferiment flimkien mat-traduzzjoni tas-sors li teħtieġ l-uplink. Router li jaċċetta t-tunnel u ma jittrasferix xejn jipproduċi telefon li juri konness u ma jgħabbi l-ebda paġna.

Jekk is-servizz tal-VPN jaħdem fuq magna separata ġewwa d-dar, żid qabża. Issa r-router jara traffiku li ġej minn dik il-magna, għalhekk ir-regoli tiegħu japplikaw għall-indirizz tas-server u mhux għall-indirizz tat-tunnel tat-telefon, u t-traduzzjoni tas-sors tista' tagħmel kull telefon jidher bħala wieħed host.

Is-semmiegħ mhuwiex il-filtru

Iddeċiedi fejn isseħħ l-infurzar sakemm l-informazzjoni li għandek bżonn għadha teżisti. Fuq ir-router l-indirizz tat-tunnel tat-telefon huwa viżibbli u jista' jiġi mqabbel direttament. Wara t-tieni traduzzjoni huwa mar, u regoli miktuba għall-indirizz tat-telefon bla ħoss ma jaqblu ma' xejn.

Dan huwa r-raġuni tas-soltu għaliex politika taħdem għall-laptop u mhux għat-telefon. Il-laptop jgħaqqad direttament mar-router, it-telefon jgħaqqad ma' server li jittrasferixxi mir-router, u biss l-ewwel passaġġ iżomm l-indirizz li tistenna r-regola. Ir-regola mhijiex ħażina; qed tqabbel valur li ma għadux jeżisti f'dak il-punt.

Ikteb il-passaġġ bl-indirizz tas-sors kif jidher f'kull punt ta' infurzar. Dak id-dijagramma waħda ssolvi ħafna minn dawn il-każijiet qabel ma tiġi editjata xi regola.

X'għandu attwalment jibgħat it-telefon

Telefon li jirċievi biss rotta lejn is-subnet tad-dar jibgħat fit-tunnel biss it-traffiku ta' dak is-subnet. Kull ħaġa oħra toħroġ mir-retena mobbli, u għalhekk il-kondiviżjoni tal-fajls taħdem u t-talbiet tal-internet qatt ma jaslu d-dar.

Kopertura tat-tunnel sħiħa hija deċiżjoni tar-rotot fuq in-naħa tal-klijent, u trid tiġi stabbilita bil-mekkaniżmu appoġġat mill-pjattaforma, mhux preżunta mill-profil li jiġi installat. Ladarba tiġi stabbilita, ir-rotta lura lejn is-server tal-VPN innifsu trid tibqa' barra mit-tunnel, inkella l-klijent ma jistax iżomm it-trasport tiegħu.

Id-DNS jistħoqqlu deċiżjoni tiegħu, għax huwa l-parti l-aktar probabbli li tiddevja mill-bqija tat-traffiku. Indirizz tar-resolver fil-profil huwa suġġeriment li l-klijenti jittrattaw b'mod differenti, u applikazzjoni b'resolver encrypted tagħha tista' tieħu passaġġ kompletament separat. Jekk il-politika tad-dar tiddependi fuq it-talbiet li jaslu għand resolver partikolari, infurzaha fejn it-traffiku tassew jgħaddi, jew aċċetta li xi talbiet ma jagħmlux hekk. Talba li tgħaddi minn ħdejn ir-resolver tiegħek qatt ma tasal għal regola miktuba għaliha.

IPv6 jappartjeni għall-istess paragrafu bħad-DNS, mhux f'appendiċi. Tunnel IPv4 sħiħ ma jgħid xejn dwar traffiku AAAA, u telefon fuq retena mobbli b'doppju stack se juża b'għożża l-passaġġ nattiv għalih. Agħżel trasport jew imblukkar b'mod espliċitu.

X'jista' u x'ma jistax jara l-firewall

Il-gateway jista' jaġixxi fuq dak li jikxef il-punt ta' infurzar tiegħu: indirizzi, portijiet, protokoll, interfaċċja u l-metadata tal-konnessjoni. Talba HTTPS ittrasferita ma tagħtix il-korp tal-paġna jew il-password sempliċement għax tgħaddi mit-tunnel tad-dar.

Dak il-limitu jistħoqqlu jingħad għax il-frażi «għaddiha mill-firewall» timplika aktar spezzjoni milli jagħmel router tad-dar. Regola tad-destinazzjoni, politika tad-DNS u prokura tal-livell tal-applikazzjoni huma tliet kontrolli differenti bi tliet spejjeż differenti ta' implimentazzjoni.

Tassumix li karatteristika kkonfigurata għall-klijenti tal-LAN tad-dar tapplika għall-interfaċċja tal-VPN. Sħubija fiż-żona hija għażla ta' konfigurazzjoni, u interfaċċja tal-VPN li mhijiex fiż-żona t-tajba ma tirtix ebda waħda mir-regoli li ttajt mill-kanape.

Iddeċiedi l-istat skonnettjat

Meta t-tunnel ma jkunx disponibbli, it-telefon jew jaqa' lura għar-retena mobbli jew jirrifjuta li jibgħat it-traffiku. It-tnejn huma raġonevoli, u wieħed biss minnhom jaqbel ma' dak li ħafna jemmnu li kkonfiguraw.

Il-waqgħa lura hija komda u tnixxi b'definizzjoni: il-mument li fih jaqa' t-tunnel huwa l-mument li fih it-talbiet joħorġu mill-passaġġ tal-operatur. L-imblukkar huwa aktar b'saħħtu u jagħmel it-telefon dipendenti fuq id-dar tkun tista' tintlaħaq, li hija spiża reali ta' disponibbiltà għal min jivvjaġġa. Ebda waħda miż-żewġ imġibiet mhija bug; it-tnejn huma prodotti, u inti tagħżel bejniethom kemm jekk tgħidha u kemm jekk le.

Ittestja l-għażla minflok tassumiha. Waqqaf is-servizz tad-dar, imbagħad ipprova talba waħda mill-browser tat-telefon u waħda minn applikazzjoni li taħdem fl-isfond. Li terġa' tikkonnettja aktar tard ma tannullax it-talbiet li diġà ħarġu.

Iffinalizza b'żewġ verifiki kkontrollati mit-telefon innifsu: operazzjoni waħda permessa li għandha tgħaddi mid-dar, u rifjut wieħed li l-politika tad-dar għandha tinforza. Ikkonferma li l-gateway irrekordja l-fluss li kont tistenna, fil-familja tal-indirizzi li kont tistenna, wara li terġa' tikkonnettja. Telefon li juri Konness huwa l-bidu ta' dik il-verifika, qatt it-tmiem.