ਨਿੱਜੀ ਰੂਟ ਰੱਖੋ ਅਤੇ ਰੀਡਾਇਰੈਕਟ ਛੱਡੋ: OpenVPN ਵੰਡਿਆ ਟਨਲ
ਸਿਰਫ਼ ਨਿੱਜੀ ਨੈੱਟਵਰਕ ਲਈ ਟਨਲ ਨੂੰ ਦੋ ਨਿਯਮ ਚਾਹੀਦੇ ਹਨ: ਨਿੱਜੀ ਪ੍ਰੀਫ਼ਿਕਸ ਇਸ ਵਿੱਚੋਂ ਲੰਘਦੇ ਹਨ, ਆਮ ਬ੍ਰਾਊਜ਼ਿੰਗ ਆਪਣਾ ਸਥਾਨਕ ਰਾਹ ਰੱਖਦੀ ਹੈ। ਡਿਫ਼ਾਲਟ ਰੂਟ ਹਟਾਉਣਾ ਨੀਤੀ ਨਹੀਂ ਹੈ।
ਟਨਲ ਉੱਪਰ ਆਉਂਦੀ ਹੈ, ਐਪਲੀਕੇਸ਼ਨ ਲੋਡ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਫਿਰ ਲੈਪਟਾਪ ਉੱਤੇ ਬਾਕੀ ਸਭ ਕੁਝ ਅਜੀਬ ਵਿਵਹਾਰ ਕਰਨ ਲੱਗਦਾ ਹੈ। ਇੱਕ ਲਾਈਨ ਹਟਾ ਕੇ ਲਾਗੂ ਕੀਤੀ ਸਿਰਫ਼-ਨਿੱਜੀ ਨੀਤੀ ਦਾ ਇਹੀ ਆਮ ਰੂਪ ਹੈ। ਧੱਕਿਆ ਗਿਆ ਡਿਫ਼ਾਲਟ ਰੂਟ ਹਟਾਉਣਾ ਸੱਚਮੁੱਚ ਬਦਲਦਾ ਹੈ ਕਿ ਟਰੈਫ਼ਿਕ ਕਿੱਥੇ ਜਾਂਦਾ ਹੈ, ਪਰ ਇਹ ਨਹੀਂ ਦੱਸਦਾ ਕਿ ਟਰੈਫ਼ਿਕ ਨੂੰ ਇਸ ਦੀ ਥਾਂ ਕਿੱਥੇ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਇਹ ਨਾਮ ਹੱਲ ਨੂੰ ਬਿਲਕੁਲ ਨਹੀਂ ਛੂੰਦਾ। ਪਰਖ ਤੋਂ ਪਹਿਲਾਂ ਨੀਤੀ ਨੂੰ ਦੋ ਸਕਾਰਾਤਮਕ ਅੱਧ ਚਾਹੀਦੇ ਹਨ।
ਰੀਡਾਇਰੈਕਟ ਹਟਾਉਣਾ ਬਦਲਾਅ ਦਾ ਸਿਰਫ਼ ਅੱਧਾ ਹਿੱਸਾ ਹੈ
ਪੂਰੀ-ਟਨਲ ਰੀਡਾਇਰੈਕਟ ਅਤੇ ਸਿਰਫ਼-ਨਿੱਜੀ ਨੀਤੀ ਦੁਨੀਆ ਬਾਰੇ ਜੋ ਦਾਅਵਾ ਕਰਦੇ ਹਨ ਉਸ ਵਿੱਚ ਵੱਖਰੇ ਹਨ। ਰੀਡਾਇਰੈਕਟ ਹਰ ਮੰਜ਼ਿਲ ਦਾ ਦਾਅਵਾ ਕਰਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਨਿੱਜੀ ਨੀਤੀ ਇੱਕ ਸੂਚੀ ਦਾ ਦਾਅਵਾ ਕਰਦੀ ਹੈ ਅਤੇ ਬਾਕੀ ਨੂੰ ਸ਼ਾਂਤ ਛੱਡਦੀ ਹੈ। ਸੂਚੀ ਲਿਖੇ ਬਿਨਾਂ ਦਾਅਵਾ ਹਟਾਉਣ ਨਾਲ ਅਜਿਹਾ ਕਲਾਇੰਟ ਬਣਦਾ ਹੈ ਜੋ ਸਥਾਨਕ ਨੈੱਟਵਰਕ ਤੋਂ ਬਾਹਰ ਕਿਤੇ ਨਹੀਂ ਪਹੁੰਚਦਾ, ਜੋ ਨੀਤੀ ਦੀ ਘਾਟ ਨਾਲੋਂ ਰੂਟਿੰਗ ਫੇਲ੍ਹ ਹੋਣ ਵਰਗਾ ਲੱਗਦਾ ਹੈ। ਦਾਅਵਾ ਹਟਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਸੂਚੀ ਲਿਖੋ, ਫਿਰ ਉਨ੍ਹਾਂ ਦੋ ਕਦਮਾਂ ਦਾ ਕ੍ਰਮ ਮਾਅਨੇ ਨਹੀਂ ਰੱਖਦਾ।
ਦੋਵੇਂ ਅੱਧ ਡਿਫ਼ਾਲਟ ਨਹੀਂ ਸਗੋਂ ਲੋੜਾਂ ਹਨ। ਨਿੱਜੀ ਪ੍ਰੀਫ਼ਿਕਸ ਨੂੰ ਟਨਲ ਵਿੱਚ ਦਾਖਲ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਆਮ ਮੰਜ਼ਿਲਾਂ ਨੂੰ ਕਨੈਕਸ਼ਨ ਤੋਂ ਪਹਿਲਾਂ ਵਾਲਾ ਰਾਹ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ।
ਜੇ ਕੋਈ ਸੰਸਥਾ ਪੂਰੀ ਟਨਲ ਲਾਜ਼ਮੀ ਕਰਦੀ ਹੈ, ਤਾਂ ਇਸ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦਾ। ਸਿਰਫ਼-ਨਿੱਜੀ ਡਿਜ਼ਾਈਨ ਉਨ੍ਹਾਂ ਤੈਨਾਤੀਆਂ ਲਈ ਹੈ ਜਿੱਥੇ ਵੰਡਿਆ ਰੂਟਿੰਗ ਮਨਜ਼ੂਰ ਹੈ।
pull-filter ਇੱਕ ਮੇਲ ਹੈ, ਸਵਿੱਚ ਨਹੀਂ
pull-filter ਨਿਰਦੇਸ਼ ਉਹ ਧੱਕੇ ਗਏ ਵਿਕਲਪ ਹਟਾਉਂਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਦੇ ਨਾਮ ਪ੍ਰੀਫ਼ਿਕਸ ਨਾਲ ਮੇਲ ਖਾਂਦੇ ਹਨ, ਅਤੇ ਬੱਸ ਇੰਨਾ ਹੀ ਕਰਦਾ ਹੈ। ਰੀਡਾਇਰੈਕਟ ਨੂੰ ਅਣਡਿੱਠਾ ਕਰਨ ਨਾਲ ਹਰ ਦੂਜਾ ਧੱਕਿਆ ਵਿਕਲਪ ਆਪਣੀ ਥਾਂ ਉੱਤੇ ਰਹਿੰਦਾ ਹੈ, ਜੋ ਆਮ ਤੌਰ ਉੱਤੇ ਤੁਸੀਂ ਚਾਹੁੰਦੇ ਹੋ: ਰੂਟ, DNS ਸੈਟਿੰਗਾਂ ਅਤੇ ਰੂਟ-ਗੇਟਵੇ ਮੁੱਲ ਸਭ ਆਉਂਦੇ ਹਨ। ਇਹ ਸਥਾਨਕ ਪ੍ਰੋਫ਼ਾਈਲ ਵਿੱਚ ਲਿਖਿਆ ਨਿਰਦੇਸ਼ ਵੀ ਨਹੀਂ ਹਟਾ ਸਕਦਾ, ਕਿਉਂਕਿ ਫਿਲਟਰਿੰਗ ਸਰਵਰ ਜੋ ਧੱਕਦਾ ਹੈ ਉਸ ਉੱਤੇ ਲਾਗੂ ਹੁੰਦੀ ਹੈ।
route ਨਾਲ ਸ਼ੁਰੂ ਹੋਣ ਵਾਲੇ ਹਰ ਵਿਕਲਪ ਨੂੰ ਅਣਡਿੱਠਾ ਕਰਨ ਦੇ ਲਾਲਚ ਦਾ ਵਿਰੋਧ ਕਰੋ। ਉਹ ਪੈਟਰਨ ਕਨੈਕਸ਼ਨ ਨੂੰ ਲੋੜੀਂਦੇ ਨਿੱਜੀ ਰੂਟ ਵੀ ਸੁੱਟ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਇਹ ਉਹ ਗੇਟਵੇ ਜਾਣਕਾਰੀ ਗੁਆ ਸਕਦਾ ਹੈ ਜਿਸ ਉੱਤੇ ਟਨਲ ਨਿਰਭਰ ਹੈ।
route-nopull ਦਿਸਣ ਨਾਲੋਂ ਵੱਡਾ ਫ਼ੈਸਲਾ ਹੈ। ਇਹ ਕਲਾਇੰਟ ਨੂੰ ਧੱਕੇ ਗਏ ਰੂਟ ਅਤੇ DHCP-ਸ਼ੈਲੀ ਵਿਕਲਪ ਇੱਕ ਸਮੂਹ ਵਜੋਂ ਸਵੀਕਾਰ ਕਰਨ ਤੋਂ ਰੋਕਦਾ ਹੈ, ਜੋ ਇੱਕ ਵਿਕਲਪ ਫਿਲਟਰ ਕਰਨ ਨਾਲੋਂ ਵੱਖਰੀ ਨੀਤੀ ਹੈ।
ਰੂਟ ਸੂਚੀ ਐਪਲੀਕੇਸ਼ਨ ਤੋਂ ਬਾਹਰ ਵੱਲ ਲਿਖੋ
ਵਰਤੋਂਕਾਰ ਅਸਲ ਵਿੱਚ ਜੋ ਖੋਲ੍ਹਦਾ ਹੈ ਉਸ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ, ਫਿਰ ਸਹਾਇਕ ਹਿੱਸੇ ਜੋੜੋ। 10.60.20.15 ਉੱਤੇ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਆਪਣੇ ਸਬਨੈੱਟ 10.60.0.0/16 ਨੂੰ ਸੰਕੇਤ ਕਰਦੀ ਹੈ, ਅਤੇ ਨਿੱਜੀ ਨਾਮ ਉਸ ਹੱਲਕਰਤਾ ਨੂੰ ਸੰਕੇਤ ਕਰਦਾ ਹੈ ਜੋ ਇਸ ਦਾ ਜਵਾਬ ਦਿੰਦਾ ਹੈ। ਇਸ ਲਈ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਮੰਗਣ ਵਾਲੇ ਵਰਤੋਂਕਾਰ ਨੂੰ ਦੋ ਮੰਜ਼ਿਲਾਂ ਅਤੇ ਇੱਕ DNS ਫ਼ੈਸਲਾ ਚਾਹੀਦਾ ਹੈ। ਉਸ ਸੂਚੀ ਤੋਂ ਅੱਗੇ ਸਭ ਕੁਝ ਬਣਾਵਟ ਕਾਰਨ ਹੀ ਦਾਇਰੇ ਤੋਂ ਬਾਹਰ ਹੈ, ਅਤੇ ਇਹੀ ਨੀਤੀ ਨੂੰ ਸਮੀਖਿਆਯੋਗ ਰੱਖਦਾ ਹੈ।
ਸਹਿਯੋਗੀ ਸਰਵਰ ਉੱਤੇ ਉਹ ਦੋ ਧੱਕੇ ਗਏ ਰੂਟ ਬਣ ਜਾਂਦੇ ਹਨ, ਅਤੇ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਰੀਡਾਇਰੈਕਟ ਨਹੀਂ ਹੈ। ਮੌਜੂਦਾ ਸੇਵਾ ਜੋ ਟਨਲ ਟੋਪੋਲੋਜੀ ਅਤੇ ਰੂਟ-ਗੇਟਵੇ ਮੁੱਲ ਦਿੰਦੀ ਹੈ ਉਹ ਰੱਖੋ।
ਜਦੋਂ ਸਿਰਫ਼ ਕੁਝ ਵਰਤੋਂਕਾਰਾਂ ਨੂੰ ਇਹ ਨੀਤੀ ਚਾਹੀਦੀ ਹੈ, ਤਾਂ ਇਸ ਨੂੰ ਪ੍ਰਤੀ ਕਲਾਇੰਟ ਜਾਂ ਪ੍ਰਤੀ ਸਮੂਹ ਲਾਗੂ ਕਰੋ। ਇੱਕ ਟੀਮ ਦੀ ਲੋੜ ਪੂਰੀ ਕਰਨ ਲਈ ਸਭ ਦੀ ਰੂਟਿੰਗ ਬਦਲਣਾ ਹੀ ਉਹ ਢੰਗ ਹੈ ਜਿਸ ਨਾਲ ਵੰਡਿਆ ਟਨਲ ਰੁਕਾਵਟ ਬਣ ਜਾਂਦਾ ਹੈ।
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
DNS ਨੂੰ ਉਹੀ ਰਾਹ ਲੈਣ ਦਿਓ
ਹੱਲਕਰਤਾ ਤੱਕ ਦਾ ਰੂਟ ਹੱਲਕਰਤਾ ਨੀਤੀ ਨਹੀਂ ਹੈ। systemd-resolved ਕਲਾਇੰਟ ਉੱਤੇ ਅਰਥਪੂਰਨ ਨਤੀਜਾ ਨਿੱਜੀ ਨਾਮ-ਥਾਂ ਲਈ ਇੱਕ ਰੂਟਿੰਗ ਡੋਮੇਨ ਹੈ ਜੋ ਅੰਦਰੂਨੀ ਹੱਲਕਰਤਾ ਵੱਲ ਸੰਕੇਤ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹੀ ਉਨ੍ਹਾਂ ਨਾਵਾਂ ਨੂੰ ਹੀ ਇਸ ਦੀ ਵਰਤੋਂ ਕਰਵਾਉਂਦਾ ਹੈ। Windows ਕਲਾਇੰਟ ਨੂੰ ਇਸ ਦੀ ਥਾਂ ਆਪਣੀ ਨਾਮ-ਥਾਂ ਨੀਤੀ ਦਾ ਤੰਤਰ ਚਾਹੀਦਾ ਹੈ। ਪ੍ਰੋਫ਼ਾਈਲ ਵਿੱਚ DNS ਸਰਵਰ ਦੀ ਲਾਈਨ ਆਪਣੇ ਆਪ ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਸਥਾਪਿਤ ਨਹੀਂ ਕਰਦੀ।
ਪ੍ਰੋਫ਼ਾਈਲ ਨੇ ਕੀ ਮੰਗਿਆ ਨਹੀਂ, ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਨੇ ਕੀ ਚੁਣਿਆ ਇਹ ਵੇਖੋ। Linux ਉੱਤੇ resolvectl status ਪ੍ਰਤੀ-ਲਿੰਕ ਡੋਮੇਨ ਅਤੇ ਸਰਵਰ ਦਿਖਾਉਂਦਾ ਹੈ; Windows ਉੱਤੇ ਨਾਮ-ਥਾਂ ਨੀਤੀ ਸਾਰਣੀ ਬਰਾਬਰ ਦਾ ਸਬੂਤ ਹੈ।
ਹੱਲਕਰਤਾ ਨੂੰ ਟਨਲ ਰਾਹੀਂ ਪਹੁੰਚਯੋਗ ਰੱਖੋ, ਨਹੀਂ ਤਾਂ ਨੀਤੀ ਅਜਿਹੇ ਪਤੇ ਵੱਲ ਸੰਕੇਤ ਕਰਦੀ ਹੈ ਜਿਸ ਨੂੰ ਪੁੱਛਿਆ ਨਹੀਂ ਜਾ ਸਕਦਾ। ਟਨਲ ਜਿਸ ਹੱਲਕਰਤਾ ਪਤੇ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦੀ, ਉਹ ਕੰਮ ਕਰਦੀ ਨੀਤੀ ਨੂੰ ਸਮਾਂ-ਸੀਮਾ ਵਿੱਚ ਬਦਲ ਦਿੰਦਾ ਹੈ।
ਮੁੜ ਕਨੈਕਟ ਵੇਲੇ ਦੋਵੇਂ ਅੱਧ ਪਰਖੋ
ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ ਕਲਾਇੰਟ ਨੂੰ ਮੁੜ ਜੋੜੋ ਅਤੇ ਨਿੱਜੀ ਪਤੇ ਤੇ ਜਨਤਕ ਪਤੇ ਤੱਕ ਦਾ ਪ੍ਰਭਾਵੀ ਰੂਟ ਵੇਖੋ। ਫਿਰ ਇੱਕ ਨਿੱਜੀ ਨਾਮ ਅਤੇ ਇੱਕ ਜਨਤਕ ਨਾਮ ਹੱਲ ਕਰੋ ਅਤੇ ਪੱਕਾ ਕਰੋ ਕਿ ਹਰ ਇੱਕ ਨੇ ਮਨਸ਼ਾ ਵਾਲਾ ਹੱਲਕਰਤਾ ਵਰਤਿਆ। ਜਨਤਕ ਵੈੱਬਸਾਈਟ ਦਾ ਲੋਡ ਹੋਣਾ ਸਿਰਫ਼ ਦੂਜਾ ਅੱਧ ਸਾਬਤ ਕਰਦਾ ਹੈ, ਅਤੇ ਆਮ ਤੌਰ ਉੱਤੇ ਉਹੀ ਅੱਧ ਸੰਜੋਗ ਨਾਲ ਕੰਮ ਕਰਦਾ ਹੈ।
ਤਿਆਰ ਨੀਤੀ ਇੱਕ ਵਾਕ ਵਿੱਚ ਦਰਜ ਕਰੋ: ਇਹ ਪ੍ਰੀਫ਼ਿਕਸ ਅਤੇ ਨਾਮ ਇਹ ਕਨੈਕਸ਼ਨ ਵਰਤਦੇ ਹਨ, ਬਾਕੀ ਸਭ ਸਥਾਨਕ ਰਾਹ ਲੈਂਦਾ ਹੈ। ਫਿਰ ਹਰ ਲੌਗਇਨ ਤੋਂ ਬਾਅਦ ਐਡਾਪਟਰ ਸੈਟਿੰਗਾਂ ਸੁਧਾਰਨ ਦੀ ਥਾਂ ਇਸ ਨੂੰ ਪ੍ਰੋਫ਼ਾਈਲ ਵਿੱਚ ਰੱਖੋ।