Regoli tal-VPN fuq ir-router: qabbel is-sors mad-destinazzjoni
Regola tal-VPN fuq ir-router għandha żewġ trufijiet: it-tagħmir li jibgħat it-traffiku u d-destinazzjoni li għandha tuża t-tunnel. Iddeċiedi l-intersezzjoni u l-imġiba ta’ rikors l-ewwel.
Il-paġni tax-xiri tar-routeri jippreżentaw ir-rotta tal-VPN bħala kaxxa waħda, u din il-frażi taħbi tliet mistoqsijiet differenti. Ir-regola taqbel mat-tagħmir li jibgħat it-traffiku, mas-server li jirċevih, jew mat-tnejn? X’jiġri mit-traffiku li ma jaqbel ma’ ħadd minnhom? U meta żewġ regoli jikkoinċidu, liema tirbaħ? Li tikteb it-tweġiba bħala par ta’ sors u destinazzjoni tbiddel lista vaga ta’ karatteristiċi fi disinn li jista’ jiġi ttestjat.
L-isem tal-karatteristika jaħbi żewġ trufijiet
Plejer tal-midja li għandu juża t-tunnel huwa taqbila ta’ sors. Prefiss ta’ uffiċċju privat li għandu jkun aċċessibbli permezz tat-tunnel huwa taqbila ta’ destinazzjoni. Stazzjon tax-xogħol li għandu juża t-tunnel għal servizz wieħed biss huwa t-tnejn, u dik l-intersezzjoni hija il-każ li ħafna mill-firmware tal-konsumatur tittratta ħażin.
Ikteb il-ħtieġa bħala par qabel ma tqabbel il-prodotti. Dak il-par huwa dak li ser tittestja aktar tard.
Prodott li joffri lista ta’ tagħmir jew lista globali ta’ destinazzjonijiet jista’ ma jesprimix «dan it-tagħmir biss, dawn id-destinazzjonijiet biss». Id-distakk mhuwiex kożmetiku: regola globali tad-destinazzjoni tibgħat it-traffiku ta’ kull tagħmir lejn dak is-sit permezz tat-tunnel, u regola tat-tagħmir tibgħat it-traffiku kollu ta’ dak it-tagħmir. L-ebda waħda mhija l-ħtieġa. Ittestja dak il-każ b’żewġ tagħmiriet qabel ma tafda l-iskrin.
Ibni r-regola bħala intersezzjoni
Tabella żżomm id-disinn onest. Qiegħed ix-xenarju fuq ix-xellug, imbagħad semmi t-taqbila tal-mittent u t-taqbila tal-mira separatament:
| Scenario | Sender match | Target match | Rule shape |
|---|---|---|---|
| Media player uses the tunnel | Player address | Any internet destination except the LAN | Source only |
| Office prefix reachable | Authorized LAN devices | 10.40.0.0/16 | Target only |
| One app on one laptop | Laptop address | The service address set | Source and target |
| Guest network never tunnels | Guest subnet | Any | Deny, evaluated first |
It-tielet ringiela hija dik interessanti, għax teħtieġ iż-żewġ nofsijiet fl-istess ħin. Jekk il-firmware tista’ tesprimi ass wieħed biss, il-ħtieġa trid tinqasam f’żewġ regoli jew tiġi mċaqilqa għal tagħmir li jista’ jagħmel dan.
Żomm l-identità tas-sors stabbli. Riżerva DHCP, segment iddedikat jew mekkaniżmu ta’ identità tat-tagħmir kollha jaħdmu, iżda indirizz li jinbidel wara li jiskadi l-kiri ma jaħdimx. Inkludi IPv6, għax indirizz IPv4 wieħed ma jidentifikax it-traffiku kollu ta’ tagħmir.
Il-prijorità tiddeċiedi l-koinċidenza
Regoli li jikkoinċidu huma normali. Regola wiesgħa tat-tagħmir u regola dejqa tad-destinazzjoni jistgħu t-tnejn jiddeskrivu fluss wieħed, u l-ordni tal-prijorità dokumentata tiddeċiedi liema tirbaħ. Skrin tas-settings attraenti ma jgħidlekx dak l-ordni.
Aqra l-manwal għall-ordni u għall-każ mingħajr taqbila, imbagħad ittestja t-tnejn b’traffiku li tista’ tosserva:
ip rule show
ip route get 203.0.113.10Jekk id-dokumentazzjoni ma tispeċifikax l-ordni, assumi li r-regola idjaq tista’ ma tirbaħx u iddisinja b’dan il-fatt. Żewġ regoli li ma jistgħux jaqblu ħażin huma eħfef biex jiġu appoġġjati minn regola intelliġenti waħda bi prijorità mhux dokumentata.
L-ismijiet jeħtieġu politika ta’ aġġornament
Destinazzjoni miktuba bħala dominju żżid problema ta’ manutenzjoni. Ir-router irid isolviha, jaġġorna l-mapping, jimmaniġġja indirizzi multipli u sottodominji, u jlaħħaq ma’ DNS tal-applikazzjonijiet li jevita r-resolver mistenni.
Li tikkopja riżultat wieħed ta’ tfittxija f’regola IP hija istantanja, mhix politika ta’ dominju.
Iddeċiedi kemm tweġiba tista’ tkun antikwa qabel ma r-regola tkun ħażina, u x’jagħmel ir-router meta jfalli s-soluzzjoni. Regola li żżomm l-aħħar indirizz magħruf tista’ tgħaddi minn migrazzjoni tas-servizz; regola li tarmi d-dħul tista’ twaqqaf it-tunnellaġġ bil-kwiet. Iż-żewġ imġibiet huma aċċettabbli jekk jiġu miktuba ħdejn ir-regola.
Iddefinixxi l-istat mhux disponibbli
Preferenza tar-rotta ma tinforzax traffiku biss tal-VPN. Meta t-tunnel ikun baxx, ir-router jista’ jimblokka l-fluss, jibgħatu direttament jew juża tunnel ieħor, u kull għażla għandha firma ta’ falliment differenti.
Iddeċiedi liema teħtieġ il-ħtieġa, imbagħad ivverifika billi twaqqaf it-tunnel u tosserva l-fluss:
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10It-traffiku li joriġina mir-router innifsu huwa ambitu separat. Il-passaġġ tad-DNS, il-verifiki tal-aġġornamenti u l-monitoraġġ jistgħu jibdew flussi ġodda mir-router innifsu minflok jirtu t-taqbila tas-sors tat-tagħmir. Ikkalkula dawk il-flussi b’mod espliċitu, altrimenti jidhru bħala tnixxijiet mhux spjegati fil-logs.