د ښکته لوري فرعي شبکه د ډیسکټاپ VPN په وړاندې: تګ راتګ بېل کړئ، اپلیکیشنونه نه
د هر اپلیکیشن لپاره لاره اوښتل یوازې محلي وتنې طبقهبندي کوي. د کاري سټیشن تر شا وسایل خپل د ننوتلو، لیږد او بیرته راستنیدو پالیسۍ ته اړتیا لري.
یو ماشین، دوه دندې، یو فایر وال: یو Wi-Fi پورتنۍ لینک، د هغې تر شا یوه کوچنۍ Ethernet فرعي شبکه، او د ډیسکټاپ VPN پیرودونکی چې فرض کوي هر څه چې له ماشین څخه وځي محلي دي. په محلي ډول پیل شوي اپلیکیشنونه د محلي وتنې لارې له مخې وځي. د کاري سټیشن تر شا وسایل Ethernet پورټ ته رسیږي او د لیږد پرېکړې ته اړتیا لري. لومړنۍ لارې لپاره لیکل شوی استثنا دوهمه هیڅکله نه ویني، او ځکه براوزر تونل ته څنګ وهي خو وسایل نه.
دوه د پاکټ لارې، یوه پالیسي
| Origin | Path | Decision owner |
|---|---|---|
| Application on the workstation | OUTPUT then egress | The VPN app's routing policy |
| Device behind the workstation | PREROUTING then FORWARD | The workstation's own forwarding policy |
لومړی کرښه هغه څه دي چې ډیرې split-tunneling لارښوونې یې بیانوي. دوهمه هغه روټر ترتیب دی چې ناڅاپه پر هماغه ماشین اوسیږي. دواړه په یو ذهني ماډل کې ګډول غلطي ده؛ دوی کرنل شریکوي، پالیسي نه. له هر قانون د سمون دمخه دواړه لارې رسم کړئ، او پاتې ډیزاین له دې څخه راځي چې کومه لاره ورکه ده.
جدول دا هم تشریح کوي چې ولی یو ماشین یو ازموینه بریالی کیدای شي او بله کې پاتې راشي. د کاري سټیشن براوزر محلي لاره ثابتوي؛ د Ethernet پورټ سره تړلی لیپ ټاپ د لیږد لاره ثابتوي. هر بدلون د دواړو سره وازموئ، که نه نو براوزر هر څو ځله تازه شي، دوهمه ازمویل شوې نه وي.
د اپلیکیشن استثنا واقعا څه طبقهبندي کوي
د هر اپلیکیشن استثنا معمولا داسې کار کوي: د یوې پروسې یا کارونکي پاکټونه نښه کوي, بیا نښه شوی ترافیک له تونل څخه بهر لیږدوي. دا د محلي وتنې جوړښت دی. د ښکته وسایل پاکټ محلي پروسه نه لري، نو هغه هیڅکله د انتخاب کوونکي سره سمون نه خوري، هر څه چې انتخاب کوونکی وي.
هر څه چې انتخاب کوونکی وي، دواړه لیستونه یو لیست نه دي، او ټوله خبره همدا ده. Mullvad د Linux لارښود د هغو نښو تشریح کوي چې د هغه فایر وال او د لیارې پالیسي یې کاروي، او مثالونه یې محلي وتنې ته نغوته کوي؛ دوی د ښکته لوري روټر ملاتړ شوی تشریح نه ده. د دوی کاپي کول داسې ماشین درکوي چې فکر کوي استثنا لري خو هر څه تونل ته لیږدوي.
د تګ راتګ تړون ولیکئ
د ښکته لوري سرچینې پری فکس او د ننوتلو انټرفیس یوځای ونوموئ، بیا هغه پری فکس د ننوتلو په ځای محدود کړئ. له محدودیت پرته، هر وسیله چې پورټ ته ورسیږي کولای شي استثنا شوی پته ادعا کړي او د لارې اوښتلو له مخې ووځي. دا د دوه پوښتنو په توګه وګورئ: ایا دا کوربه کولای شي دا پورتنۍ لینک اصلا وکاروي، او ایا دوی کولای شي کاري سټیشن یا د تونل خصوصي حدونو ته ورسیږي؟ دا اضافي اجازې دي، د لینک د انتخاب اړخیزې پایلې نه.
لیږد ته اجازه ورکړئ، بیا یې فلټر کړئ. Linux ګیټوې ته فعال لیږد، هغه قوانین چې په دواړو لورو کې پلان شوی ترافیک اجازه کوي، او یا پورتنۍ بیرته راستنیدو لاره یا په قصد سره محدوده سرچینه ژباړه غواړي. NAT یوازې پورتنۍ لینک نه ټاکي او د فلټر له لارې تیریدو اجازه نه ورکوي؛ هغه یوازې له هغو پرېکړو وروسته پته بیا لیکي.
د تګ راتګ لپاره طبقهبندي باید د لیږد د لارې له پرېکړې دمخه پیښ شي، یعنې prerouting پړاو کې نه output کې. له پرېکړې وروسته ایښودل شوی قانون لاهم کولای شي پاکټ بدل کړي، خو نشي بدلولی چې پاکټ لا دمخه چیرته لیږل شوی.
نښې د هغه اپلیکیشن دي چې مالکیت یې لري
د نښو ارزښتونه، د جدول شمیرې او د زنځیر لومړیتوبونه د VPN اپلیکیشن د پالیسۍ برخه ده، نه ابدي ثابتونه. هغه شبکه چې په بل پروګرام لخوا بیا جوړ شوي جدول کې د قانون د ننوتلو پورې تړلې ده، په راتلونکي تازه کې به مات شي، معمولا د بیا نښلیدو پر مهال، نه په مناسب وخت.
د accept حکم سره دوهمه بنسټیزه زنځیر زیاتول اړینه نه ده چې د وروستي زنځیر drop له منځه یوسي. بنسټیز زنځیرونه کړنګې او لومړیتوبونه لري، او په ترتیب کې لومړی حکم ګټي؛ په یو زنځیر کې accept هغه drop نه لغوه کوي چې بل زنځیر ورته دمخه رسیږي. بشپړ قانون ټولګه او د لیارې پالیسۍ ترتیب وګورئ، نه هغه یو شمیرونکی چې زیات شو. شمیرونکی ثابتوي چې قانون وچلید، هیڅکله نه چې د هغه حکم پلي شو.
یوځای کړئ، یا فرعي شبکه انتقال کړئ
دواړه ډیزاینونه په دې کې توپیر لري چې د لارې اوښتل چا لري. یوځای شوی ډیزاین یو ماشین او یوه پالیسي ساتي، د دې په بیه چې د VPN اپلیکیشن د جدولونو د ژوند دورې او د هغو نښو ټولګې پورې تړلی وي چې اسناد یې بدلولی شي. د ښکته شبکې لپاره ځانګړی روټر هغه تړاو په بشپړه توګه لرې کوي: فرعي شبکه خپله پورتنۍ لینک لري، او کاري سټیشن بې د لیږد رول پیرودونکی پاتې کیږي.
دوهمه وټاکئ کله چې ښکته شبکه باید د VPN تازه کیدو په اوږدو کې کار وکړي، یا کله چې له هر خپریدو وروسته هیڅوک یوځای شوې پالیسي نه شي ازمویلای. لومړۍ یوازې هغه وخت وټاکئ چې یوځای کیدل مستند وي او څوک یې مسول وي.
په څلورو حالتونو کې پوله وازموئ: نښلول شوی، بیا نښلیدونکی، په قصد بند شوی او تم شوی. په هر یو کې د نومونو حل او دواړه د پتې کورنۍ وګورئ، ځکه هغه لاره اوښتل چې DNS تویوي هغه استثنا نه ده چې تاسو ډیزاین کړې. ازموینه باید دقیقه پوله ثابته کړي، نه یوازې دا چې یوه پاڼه بار شوه.