Kif tibgħat subnet privat wieħed biss minn ġol-VPN

Agħżel bejn rotta fuq il-klijent, rotta li timbotta s-server u seletturi nnegozjati, imbagħad ġib subnet privat wieħed mingħajr mina sħiħa.

Subnet privat wieħed minn ġol-mina u kollox ieħor fit-triq tas-soltu tiegħek hija talba żgħira b'ħafna modi kif tagħmel ħażin. Ma jiddeterminax ir-riżultat il-kaxxa tal-immarkar bl-isem split tunneling, iżda fejn tiġi infurzata d-deċiżjoni. Dak il-post jista' jkun it-tabella tar-rotot tal-klijent stess, rotta li timbotta s-server, jew politika li jixtarru t-tnejn li huma t-truf. Jien nuża test ta' tliet kundizzjonijiet qabel ma niftaħ kwalunkwe konfigurazzjoni, u mbagħad nagħżel wieħed mill-mekkaniżmi hawn taħt.

Tliet kundizzjonijiet li jiddeċiedu d-disinn

L-ewwel, għandek bżonn il-prefiss u l-mask preċiżi mingħand is-sid tan-netwerk. In-netwerk 10.x mhuwiex prefiss; 10.20.0.0/16 huwa. Ikkonferma li ma jidħolx fuq il-LAN tad-dar tiegħek, fuq pont Docker jew fuq VPN ieħor li tħaddem, għax sovrappożizzjoni tagħmel ir-rotta ambigwa u l-qalba tagħżel id-dħul li ma kellekx f'moħħok.

It-tieni, min iwieġeb għat-traffiku li jerġa' lura. Li tressaq pakkett fil-mina jġibu biss sa server tal-VPN. Jekk is-subnet qiegħed wara router ieħor li m'għandux rotta lura lejn il-pool tal-klijenti tiegħek, is-server irid jaħbi t-traffiku, jew dak ir-router irid jitgħallem il-pool tiegħek. L-ebda rotta fuq in-naħa tal-klijent ma tissewwi triq lura nieqsa.

It-tielet, il-punt tal-infurzar. Xi klijenti jinstallaw rotta u s-sistema operattiva tagħmel il-bqija. Oħrajn jixtarru politika, u politika li l-gateway ma jaċċettax ma tipproduċi l-ebda mina: il-pakketti jiġu mwarrba mingħajr żball ovvju. Iddeċiedi liema miż-żewġ każijiet huwa tiegħek qabel ma tikteb xi ħaġa.

WireGuard: AllowedIPs hija t-tabella tar-rotot

Fuq il-klijent, AllowedIPs jelenka d-destinazzjonijiet li jistgħu jidħlu fil-mina, u wg-quick jibdel kull dħul f'rotta ordinarja. Għalhekk in-nofs tal-klijent ta' dan ix-xogħol hija linja waħda.

[Peer]
PublicKey = ...
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16

Issa qabbel id-dħul tas-server għall-istess klijent. Dan jiddeskrivi x'se jibgħat is-server lill-klijent, li normalment hija l-indirizz tal-mina tal-klijent, mhux is-subnet privat.

[Peer]
PublicKey = ...
AllowedIPs = 10.99.0.2/32

Li tbiddel dawn it-tnejn hija l-iżball li nara l-aktar spiss. Li tpoġġi 10.20.0.0/16 taħt is-sezzjoni peer tas-server jgħid li s-subnet kollu jinsab wara dak il-klijent, u dan huwa talba minn sit għal sit, mhux permess. Pakketti li ma jaqblux mal-AllowedIPs ta' ebda peer jiġu mwarrba bil-kwiet, għalhekk dħul ħażin jidher eżattament bħal problema tal-firewall.

Jekk tamministra r-rotot int stess, issettja Table = off taħt [Interface] u żid ir-rotta li trid. Imbagħad xejn ma jiżdied awtomatikament, għalhekk ir-rotta tappartjeni lil dak li jgħolli l-interface.

OpenVPN: imbotta r-rotta, imbagħad kun żgur li tasal

Fuq server normali l-bidla hija direttiva waħda fil-konfigurazzjoni tas-server, ħdejn il-pool tal-klijenti.

push "route 10.20.0.0 255.255.0.0"

Il-klijent iżidha meta jgħaqqad. Il-modalità tal-falliment tidher meta l-istess profil jimbotta wkoll redirect-gateway, jew meta xi ħadd diġà żied route-nopull: l-ewwel jagħmel is-sessjoni mina sħiħa, u t-tieni jarmi kull rotta mbuttata, inkluża tiegħek.

Klijent li għandu bżonn imġiba dejqa kontra server b'mina sħiħa għandu jinjora biss il-partijiet li ma jridx. F'OpenVPN 2.4 u wara, pull-filter jeżisti eżattament għal dan.

pull-filter ignore "redirect-gateway"
route 10.20.0.0 255.255.0.0

Żomm il-familji tal-indirizzi separati: rotta IPv4 imbuttata ma tagħmel xejn għal servizz intern li jiġi riżolt f'IPv6, u dak is-servizz ifalli mill-mina waqt li kollox ieħor jidher sew.

Meta s-subnet privat mhuwiex fuq is-server tal-VPN imma wara klijent ieħor, is-server irid jiġi mgħarraf. Żid fajl għal kull klijent permezz ta' client-config-dir li fih iroute 10.20.0.0 255.255.0.0, flimkien ma' route li taqbel sabiex klijenti oħra jitgħallmu t-triq. Mingħajr iroute is-server m'għandu ebda raġuni biex jibgħat dak il-prefiss preċiżament minn dik il-mina.

IPsec: is-seletturi tat-traffiku jridu jaqblu

B'IPsec m'hemmx rotta x'timbotta. Iż-żewġ truf jixtarru liema indirizzi jgħixu fil-mina, u traffiku barra s-seletturi miftiehma la jiġi ċċifrat u lanqas jintbagħat minnha. Fuq klijent strongSwan is-seletturi huma espliċiti.

leftsubnet=192.168.1.0/24
rightsubnet=10.20.0.0/16

Jekk il-gateway huwa kkonfigurat b'0.0.0.0/0 fuq iż-żewġ naħat, id-dejjaq ta' IKEv2 normalment inaqqas l-SA tifel għall-intersezzjoni taż-żewġ proposti, li hija r-riżultat mixtieq. Xi gateways minflok jirrifjutaw proposta li ma taqbilx mas-seletturi konfigurati tagħhom, u l-log imbagħad juri SA tifel fallut u mhux ilment dwar routing. Meta jiġri hekk il-bidla tappartjeni lill-gateway, għax rotta fuq il-klijent ma tistax toħloq mina għal selettur li n-naħa l-oħra mhux se taċċetta.

Fuq Windows il-klijent integrat jaħbi l-istess deċiżjoni wara żewġ settaggi. Id-diviżjoni tal-mina trid tkun mixgħula, u l-prefiss irid ikun reġistrat fuq il-profil.

Set-VpnConnection -Name Office -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.20.0.0/16

Ir-reġistrazzjoni tal-prefiss hija dik li tagħmilha tgħix wara konnessjoni mill-ġdid, xi ħaġa li rotta miżjuda bl-idejn ma tagħmilx.

Żomm il-punt tat-tmiem u d-DNS barra mid-deċiżjoni

Il-punt tat-tmiem tal-VPN irid jibqa' jintlaħaq mingħajr il-mina, inkella l-mina tiġġarraf fiha nnifisha. Meta tiġi routed biss 10.20.0.0/16 dan huwa awtomatiku, għax il-punt tat-tmiem huwa indirizz pubbliku. Fi profil ta' mina sħiħa mhuwiex, u l-klijent għandu bżonn rotta espliċita tal-host sal-punt tat-tmiem qabel ma titla' l-mina.

Id-DNS hija t-tieni deċiżjoni li imbotta rotta ma tieħux għalik. L-ismijiet interni normalment jiġu riżolti permezz ta' resolver li tista' tilħaq biss in-netwerk privat. Jekk is-server jimbotta server DNS, kull isem jgħaddi minnu; jekk le, l-ismijiet interni jew ifallu jew jiġu riżolti pubblikament f'xi ħaġa li ma kellekx f'moħħok. DNS maqsum iżomm dominju tat-tiftix wieħed fuq ir-resolver intern, imma dan jiddependi mill-appoġġ tal-klijent, għalhekk ittrattah bħala xogħol għalih u mhux bħala effett sekondarju tar-routing.

Ivverifika, imbagħad erġa' ibda u vverifika mill-ġdid

Tliet provi jkopru l-kwistjoni tar-routing. Staqsi lill-qalba fejn tmur indirizz remot, iġbor xi ħaġa minn ġewwa s-subnet, u mbagħad ikkonferma li talba pubblika ordinarja għadha toħroġ mill-konnessjoni normali tiegħek.

ip route get 10.20.5.7
curl -sS http://10.20.5.7/health
curl -sS https://ifconfig.me

L-ewwel linja ssemmi interface. Jekk issemmi l-interface fiżika tiegħek, ir-rotta qatt ma waslet. Fuq Windows Find-NetRoute -RemoteIPAddress 10.20.5.7 iwieġeb l-istess mistoqsija, u l-aħħar prova xorta għandha turi l-indirizz tas-soltu tiegħek u mhux dak tas-server tal-VPN.

Imbagħad erġa' ibda. Rotot miżjuda bl-idejn jisparixxu, filwaqt li rotot mill-profil, minn konfigurazzjoni mbuttata jew minn AllowedIPs jerġgħu lura. Jekk aċċess dejjaq jaħdem qabel it-tnedija mill-ġdid u jfalli wara, il-ħtija hija fil-mod kif tinbeda l-mina, mhux fir-rotta nnifisha.

Qabel ma tgħid li spiċċa, ikkonferma erba' affarijiet: il-prefiss ġie mingħand is-sid tan-netwerk u ma jidħolx fuq xejn lokali, it-triq lura teżisti jew regola tal-maskerading tissostitwiha, il-mekkaniżmu li kkonfigurajt huwa dak li jinfurza r-routing fuq il-pjattaforma tiegħek, u l-istess provi jgħaddu wara tnedija mill-ġdid nadifa. In-noti ta' strongSwan dwar it-trażmissjoni jistħoqqilhom qari jekk it-triq lura hija l-parti li tkompli tfalli.

Artikli relatati