निजी मार्गहरू राख्नुहोस् र रिडिरेक्ट हटाउनुहोस्: OpenVPN विभाजित सुरुङ
निजी सञ्जालका लागि मात्रको सुरुङलाई दुई नियम चाहिन्छ: निजी प्रिफिक्सहरू यसबाट जान्छन्, सामान्य ब्राउजिङले आफ्नो स्थानीय मार्ग राख्छ। पूर्वनिर्धारित मार्ग हटाउनु नीति होइन।
सुरुङ माथि आउँछ, अनुप्रयोग लोड हुन्छ, र त्यसपछि ल्यापटपमा बाँकी सबै अनौठो व्यवहार गर्न थाल्छ। एउटा लाइन हटाएर लागू गरिएको निजी-मात्र नीतिको यही सामान्य स्वरूप हो। धकेलिएको पूर्वनिर्धारित मार्ग हटाउँदा ट्राफिक कहाँ जान्छ भन्ने साँच्चै बदलिन्छ, तर यसले ट्राफिक त्यसको सट्टा कहाँ जानुपर्छ भन्ने बताउँदैन, र नाम विश्लेषणलाई पटक्कै छुँदैन। परीक्षण गर्नुअघि नीतिलाई दुई सकारात्मक आधा चाहिन्छ।
रिडिरेक्ट हटाउनु परिवर्तनको आधा मात्र हो
पूर्ण-सुरुङ रिडिरेक्ट र निजी-मात्र नीति संसारबारे के दाबी गर्छन् भन्नेमा फरक छन्। रिडिरेक्टले हरेक गन्तव्यको दाबी गर्छ, जबकि निजी नीतिले एउटा सूचीको दाबी गर्छ र बाँकी शान्त राख्छ। सूची नलेखी दाबी हटाउँदा स्थानीय सञ्जालबाहिर कतै नपुग्ने क्लाइन्ट बन्छ, जुन नीतिको कमीभन्दा मार्गनिर्देशन विफलता जस्तो देखिन्छ। दाबी हटाउनुअघि सूची लेख्नुहोस्, अनि ती दुई चरणको क्रमले महत्व राख्न छोड्छ।
दुवै आधा पूर्वनिर्धारित होइनन्, आवश्यकता हुन्। निजी प्रिफिक्सहरू सुरुङमा प्रवेश गर्नैपर्छ, र सामान्य गन्तव्यहरूले जडानअघिको मार्ग राख्नैपर्छ।
यदि संस्थाले पूर्ण सुरुङ अनिवार्य गर्छ भने यसमध्ये केही पनि लागू हुँदैन। निजी-मात्र डिजाइन ती तैनाथीहरूका लागि हो जहाँ विभाजित मार्गनिर्देशन स्वीकृत छ।
pull-filter एउटा मिलान हो, स्विच होइन
pull-filter निर्देशनले नाम प्रिफिक्ससँग मिल्ने धकेलिएका विकल्पहरू हटाउँछ, र त्यति मात्र गर्छ। रिडिरेक्ट बेवास्ता गर्दा बाँकी हरेक धकेलिएको विकल्प ठाउँमै रहन्छ, जुन सामान्यतया तपाईंले चाहेकै हो: मार्गहरू, DNS सेटिङ र मार्ग-गेटवे मान सबै आइपुग्छन्। स्थानीय प्रोफाइलमा लेखिएको निर्देशन पनि यसले हटाउन सक्दैन, किनकि फिल्टरिङ सर्भरले धकेल्ने कुरामा लागू हुन्छ।
route बाट सुरु हुने हरेक विकल्प बेवास्ता गर्ने प्रलोभनको प्रतिरोध गर्नुहोस्। त्यो ढाँचाले जडानलाई चाहिने निजी मार्गहरू पनि फ्याँक्छ, र सुरुङ जसको भर पर्छ त्यो गेटवे जानकारी गुमाउन सक्छ।
route-nopull देखिनेभन्दा फराकिलो निर्णय हो। यसले क्लाइन्टलाई धकेलिएका मार्ग र DHCP शैलीका विकल्पहरू एउटा समूहका रूपमा स्वीकार्नबाट रोक्छ, जुन एउटा विकल्प फिल्टर गर्नुभन्दा फरक नीति हो।
मार्ग सूची अनुप्रयोगबाट बाहिरतिर लेख्नुहोस्
प्रयोगकर्ताले वास्तवमा के खोल्छ त्यसबाट सुरु गर्नुहोस्, त्यसपछि सहयोगी भागहरू थप्नुहोस्। 10.60.20.15 मा रहेको अनुप्रयोगले आफ्नो उपसञ्जाल 10.60.0.0/16 लाई जनाउँछ, र निजी नामले त्यसको उत्तर दिने समाधानकर्तालाई जनाउँछ। त्यसैले एउटा अनुप्रयोग माग्ने प्रयोगकर्तालाई दुई गन्तव्य र एउटा DNS निर्णय चाहिन्छ। त्यो सूचीभन्दा परको सबै रचनागत रूपमै दायराबाहिर छ, र यसैले नीतिलाई समीक्षायोग्य राख्छ।
सहयोगी सर्भरमा ती दुई धकेलिएका मार्ग बन्छन्, र तीमध्ये कुनै पनि रिडिरेक्ट होइन। विद्यमान सेवाले दिने सुरुङ टोपोलोजी र मार्ग-गेटवे मानहरू राख्नुहोस्।
यो नीति केवल केही प्रयोगकर्तालाई चाहिएमा यसलाई प्रति क्लाइन्ट वा प्रति समूह लागू गर्नुहोस्। एउटा टोलीको आवश्यकता सुधार्न सबैको मार्गनिर्देशन बदल्नु नै विभाजित सुरुङ अवरोध बन्ने बाटो हो।
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
DNS लाई उही मार्ग पछ्याउन दिनुहोस्
समाधानकर्तासम्मको मार्ग समाधानकर्ता नीति होइन। systemd-resolved क्लाइन्टमा अर्थपूर्ण परिणाम निजी नामस्थानका लागि एउटा मार्गनिर्देशन डोमेन हो जसले आन्तरिक समाधानकर्तातिर संकेत गर्छ, र यसैले ती नामहरूले मात्र यसको प्रयोग गर्छन्। Windows क्लाइन्टलाई यसको सट्टा आफ्नै नामस्थान नीति संयन्त्र चाहिन्छ। प्रोफाइलमा रहेको DNS सर्भर लाइनले आफैंमा तीमध्ये कुनै पनि स्थापना गर्दैन।
प्रोफाइलले के माग्यो होइन, अपरेटिङ सिस्टमले के छान्यो त्यो जाँच्नुहोस्। Linux मा resolvectl status ले प्रति लिङ्क डोमेन र सर्भर देखाउँछ; Windows मा नामस्थान नीति तालिका समान प्रमाण हो।
समाधानकर्तालाई सुरुङबाट पुग्नयोग्य राख्नुहोस्, नत्र नीतिले सोध्न नसकिने ठेगानातिर संकेत गर्छ। सुरुङ नपुग्ने समाधानकर्ता ठेगानाले काम गरिरहेको नीतिलाई समयसमाप्तिमा बदल्छ।
पुनः जडानमा दुवै आधा जाँच्नुहोस्
परिवर्तनपछि क्लाइन्ट फेरि जोड्नुहोस् र निजी ठेगाना तथा सार्वजनिक ठेगानातिरको प्रभावकारी मार्ग हेर्नुहोस्। त्यसपछि एउटा निजी नाम र एउटा सार्वजनिक नाम समाधान गर्नुहोस् र प्रत्येकले अभीष्ट समाधानकर्ता प्रयोग गरेको पुष्टि गर्नुहोस्। सार्वजनिक वेबसाइट लोड हुनुले दोस्रो आधा मात्र प्रमाणित गर्छ, र सामान्यतया त्यही आधा संयोगले काम गर्छ।
तयार नीति एउटा वाक्यमा लेख्नुहोस्: यी प्रिफिक्स र नामहरूले यो जडान प्रयोग गर्छन्, बाँकी सबै स्थानीय मार्ग पछ्याउँछ। त्यसपछि हरेक लगइनपछि एडाप्टर सेटिङ सुधार्नुको सट्टा यसलाई प्रोफाइलमा राख्नुहोस्।