د split-tunnel اسنادو ته د هر مسیر ترڅنګ د DNS قاعده اړینه ده
مسیر د پتې له مخې پرېکړه کوي، ریزولور د نوم له مخې پرېکړه کوي۔ د هر جریان لپاره دواړه ټاکنکي ولیکئ، هر یو د یوې ازموینې سره، که نه نو د DNS بدلېدو سره یادښت ناکامېږي۔
د split-tunnel یادښت چې وایي "د دفتر ترافیک له VPN څخه تېرېږي" یوه پرېکړه ثبت کړې او درې نورې یې په ضمن کې ویلي دي۔ د بستې په طبقې کې د لارښوونې جدول د منزل پتې له مخې انټرفیس ټاکي؛ د نوم په طبقې کې ریزولور د پوښتنې له مخې سرور ټاکي، او دا دواړه ټاکنې په خپلواکه توګه کیږي۔ له همدې امله په سمه توګه ثبت شوی مختګ لا هم کولای شي داسې ماشین جوړ کړي چې کورنی نوم عامه پتې ته حل کوي، یا هېڅ هم حل نه کوي په داسې حال کې چې لاره بشپړه ښکاري۔
دوه ټاکنکي، یوه د نښلېدو هڅه
کله چې یو اپلیکیشن files.corp.example سره نښلېږي، د بستې له جوړېدو مخکې دوه پوښتنې کیږي۔ ریزولور پرېکړه کوي چې کوم سرور پوښتنه ترلاسه کوي، د لټون ډومینونو، د هرې اړیکې د لارښوونې ډومینونو یا د پروفایل صریح قاعدې په کارولو سره۔ بیا د لارښوونې جدول پرېکړه کوي چې ترلاسه شوې پته چېرته ځي، د منزل سره د ترټولو اوږد مختګ سمون په کارولو سره۔
هېڅ شی دا دوه پرېکړې نه یوځای کوي۔ یوه خصوصي زون کولای شي 10.20.4.11 سره ځواب ووایي، په داسې حال کې چې د لارښوونې جدول 10.20.0.0/16 تونل ته لېږي، او اړیکه کار کوي۔ هر یو یې واړوئ او دا د بل په څېر ښکارېدونکې تېروتنې سره ناکامېږي: سمه DNS پالیسي او ورکه لاره حل شوی نوم او د وخت ختمېدل ورکوي، په داسې حال کې چې سمه لاره او عامه ریزولور داسې پته ورکوي چې په پاکه توګه غلط ځای ته لارښوونه کیږي۔
وېشل شوې افق DNS دا لا تېز کوي۔ هماغه نوم کولای شي له کورني ریزولور څخه خصوصي پته او له انټرنېټ ته مخامخ ریزولور څخه عامه پته بیرته راوړي، نو یوازې مختګ ثبت کوونکی یادښت نشي وړاندوینه کولای چې کلاینټ به په رښتیا کومه پته کاروي۔ د ریزولور لاره ولیکئ، که نه نو پته یوه اټکل ده۔
یوازې-لاره یادښت څه پریږدي
یوازې د لارې ثبت د split-tunnel ترټولو عامې ناکامۍ لپاره بېګټه دی: نومونه۔ کاروونکی راپور ورکوي چې کورنی شبکه بار نه شي، تونل پورته دی، او مختګ شته۔ څوک چې ټکټ اخلي د دې ثبت نه لري چې کوم ریزولور باید ځواب ویلی وای، د غلط لټون پایښت له بند شوي سرور څخه د توپیر وسیله نه لري، او د پرتله کولو لپاره بنسټیزه کرښه نه لري۔
دویمه پریښودنه د استثناوو لیست دی۔ د split-tunnel ډیزاین هغومره په دې تعریفېږي چې له تونل څخه بهر څه پاتې کیږي، څومره چې په دې چې څه ورته ننوځي، او ایستل شوې سیمې معمولاً لومړي ماتېږي، ځکه چې یوه ډېره ځانګړې محلي لاره یا د کلاینټ خوا فلټر کولای شي پرته له دې چې پروفایل ته لاس ووهي نیت له پامه وغورځوي۔
درېیمه د تونل لرې خوا ده۔ د کلاینټ لاره یوازې بسته پر تار ږدي؛ ګیټوې لا هم باید دا مخکې ولېږي او د بېرته تګ لاره ولري۔ strongSwan د لېږلو لارښود یادونه کوي چې په ګیټوې کې د لېږلو او فایر وال قواعدې د ځانګړتیا برخه ده، نه د هغه پایپ وهلو برخه چې تاسو یې فرض کولای شئ۔
هغه ساحې چې یادښت د اجرا وړ ګرځوي
هر جریان ته یوه کرښه، او جریان یعنې منزل جمع نوم جمع مالک۔ دا هغه ساحې دي چې د ریښتیني پېښې سره په تماس کې پاتې کیږي:
| Field | Why it has to be written down |
|---|---|
| Destination prefix and address family | The route is per family; an IPv4 note says nothing about a AAAA answer |
| Selected tunnel or direct path | Names the decision, not the symptom |
| Private namespace and resolver | Which domain, which server, which search suffix |
| Public name path | Confirms public names do not accidentally use the private resolver |
| Where the rule lives | Client profile, server push, OS policy or management tool |
| Owner and review date | Namespaces change owner more often than routes change |
"چېرته اوسیږي" کرښه هغه ده چې خلک یې پریږدي۔ هغه مختګ چې سرور یې ټېل وهلی، هغه لاره چې کلاینټ پروفایل یې اضافه کړې او هغه لاره چې په شیل کې ټایپ شوې، په دې کې توپیر لري چې څوک یې بدلولای شي او آیا د بیا نښلېدو په وخت کې پاتې کیږي۔ پرته له دې ساحې بل انجینر نشي ویلای چې له درېیو کوم یو ته ګوري۔
هرې قاعدې ته یوه ازموینه، هر تونل ته نه
هرې کرښې ته دوه بې ضرره کتنې اړینې دي: یوه چې لاره ازموي او یوه چې نوم۔ د لارې لپاره، هغه څه وغواړئ چې باید له تونل څخه تېر شي او د رسېدو پرځای لاره تایید کړئ، د بېلګې په توګه tracert -d 10.20.4.11 په Windows یا ip route get 10.20.4.11 په Linux۔ د نوم لپاره، خصوصي نوم پوښتنه کړئ او ثبت کړئ چې کوم سرور ځواب ورکړ، د یادښت په نومول شوي ریزولور پروړاندې resolvectl query files.corp.example یا dig files.corp.example په کارولو سره۔
منفي تمه هم اضافه کړئ: کله چې تونل بند وي څه باید وشي۔ د Android یا iOS وسیله کې ایستل شوی اپلیکیشن چې پرته له VPN بندول فعال وي ممکن هېڅ اړیکه ونلري، او ډیسکټاپ کلاینټ کولای شي هماغه اپلیکیشن د تونل د بیا نښلېدو پر مهال کاروو۔ د نیت شوي ځواب ثبتول "VPN زما اپلیکیشن خراب کړ" په کتنې وړ بیان بدلوي۔
ثبت د کنفیګریشن سره ساتئ
یادښت د هغه پروفایل ترڅنګ وساتئ چې بیانوي یې او له همغه پروفایل سره نسخه ورکړئ۔ په ویکي کې هغه سند چې هیڅوک نه تازه کوي اوازه ده؛ په همغه زېرمه کې جدول چې ټېل وهل شوې لارې او د ریزولور پالیسي پکې ده په همغه بدلون کې کتنې وړ دی۔
کله چې یو څه مات شي، له بل استثنا اضافه کولو مخکې پلي شوې لاره او اغېزمن ریزولور له ثبت سره پرتله کړئ۔ د درېیو عامو لاملونو دوه — زوړ د نوم ساحې قاعده او د اپلیکیشن پالیسۍ څخه بهر مرستندویه پروسه — بالکل د VPN خرابۍ په څېر ښکاري او که یادښت یوازې مختګونه لیست کړي نو پټ وي۔
تر دې چې یادښت بشپړ وبولئ، تایید کړئ چې په لیکلي ډول دې ته ځواب وایي: کوم مختګ، د کومې پتې کورنۍ لپاره؛ کوم خصوصي د نوم ساحه، د کوم ریزولور له خوا ځواب شوې؛ کوم نومونه په قصداً ډول عامه پاتې کیږي؛ هره قاعده چېرته کنفیګ شوې او مالک یې څوک دی؛ او هغه یو حکم چې لاره ثابتوي او هغه چې نوم ثابتوي۔ که له دې یو هم ورک وي، بله پېښه به له صفر څخه تشخیص شي۔