Zadržite privatne rute i uklonite preusmjerenje: OpenVPN razdvojeni tunel
Tunel samo za privatne mreže traži dva pravila: privatni prefiksi idu kroz njega, obično pregledanje zadržava svoju lokalnu putanju. Brisanje zadane rute nije politika.
Tunel se podiže, aplikacija se učitava, a zatim sve ostalo na laptopu počinje da se ponaša čudno. To je uobičajen oblik politike samo za privatne mreže koja je implementirana brisanjem jednog reda. Uklanjanje gurnute zadane rute zaista mijenja kuda saobraćaj ide, ali ne kaže kuda saobraćaj treba da ide umjesto toga, i uopšte ne dira razrješavanje imena. Politika treba dvije pozitivne polovine prije nego što se može testirati.
Brisanje preusmjerenja je samo pola promjene
Preusmjerenje punog tunela i politika samo za privatne mreže razlikuju se po tome što tvrde o svijetu. Preusmjerenje polaže pravo na svako odredište, dok privatna politika polaže pravo na spisak i ostavlja ostalo na miru. Brisanje tvrdnje bez pisanja spiska stvara klijenta koji ne doseže ništa izvan LAN-a, što izgleda kao kvar rutiranja, a ne kao praznina u politici. Napišite spisak prije nego što uklonite tvrdnju, i redoslijed tih dvaju koraka prestaje da bude važan.
Obje polovine su zahtjevi, a ne zadane vrijednosti. Privatni prefiksi moraju ući u tunel, a obična odredišta moraju zadržati putanju koju su imala prije veze.
Ako organizacija propisuje puni tunel, ništa od ovoga ne važi. Dizajn samo za privatne mreže pripada uvođenjima u kojima je razdvojeno rutiranje odobreno.
pull-filter je podudaranje, a ne prekidač
Direktiva pull-filter uklanja gurnute opcije čija imena odgovaraju prefiksu, i to je sve što radi. Zanemarivanje preusmjerenja ostavlja svaku drugu gurnutu opciju na mjestu, što je obično ono što želite: rute, DNS postavke i vrijednost mrežnog prolaza rute svejedno stižu. Ona takođe ne može ukloniti direktivu napisanu u lokalnom profilu, jer filtriranje važi za ono što server gura.
Oduprite se iskušenju da zanemarite svaku opciju koja počinje sa route. Taj obrazac takođe odbacuje privatne rute koje su vezi potrebne, i može ispustiti informacije o mrežnom prolazu od kojih tunel zavisi.
route-nopull je šira odluka nego što izgleda. Ona sprječava klijenta da prihvati gurnute rute i DHCP-stilske opcije kao grupu, što je drugačija politika od filtriranja jedne opcije.
Napišite spisak ruta od aplikacije prema vani
Pođite od onoga što korisnik zaista otvara, pa dodajte prateće dijelove. Aplikacija na 10.60.20.15 podrazumijeva svoju podmrežu 10.60.0.0/16, a privatno ime podrazumijeva razrješivač koji na njega odgovara. Korisnik koji je tražio jednu aplikaciju stoga treba dva odredišta i jednu DNS odluku. Sve izvan tog spiska je po konstrukciji van obuhvata, i to je ono što politiku čini preglednom.
Na serveru koji sarađuje to postaju dvije gurnute rute, i nijedna od njih nije preusmjerenje. Zadržite topologiju tunela i vrijednosti mrežnog prolaza rute koje postojeća usluga pruža.
Kada ova politika treba samo nekima od korisnika, primijenite je po klijentu ili po grupi. Mijenjanje rutiranja svima da bi se ispravio zahtjev jednog tima jeste način na koji razdvojeni tunel postaje prekid.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
Neka DNS slijedi istu putanju
Ruta do razrješivača nije politika razrješivača. Na klijentu systemd-resolved semantički rezultat je domena rutiranja za privatni imenski prostor koja pokazuje na unutrašnji razrješivač, i to je ono što čini da ga koriste samo ta imena. Windows klijent treba sopstveni mehanizam politike imenskog prostora. Linija DNS servera u profilu ne instalira nijedno od toga sama po sebi.
Provjerite šta je operativni sistem odabrao, a ne šta je profil zatražio. Na Linuxu resolvectl status prikazuje domenu i server po vezi; na Windowsu je tabela politike imenskog prostora ekvivalentni dokaz.
Držite razrješivač dostupnim kroz tunel, inače politika pokazuje na adresu koja se ne može upitati. Adresa razrješivača do koje tunel ne doseže pretvara radnu politiku u istek vremena.
Provjerite obje polovine pri ponovnom povezivanju
Ponovo povežite klijenta nakon promjene i pregledajte efektivnu rutu do privatne adrese i do javne. Zatim razriješite privatno ime i javno ime i potvrdite da je svako koristilo predviđeni razrješivač. Učitavanje javnog sajta dokazuje samo drugu polovinu, a upravo ta polovina obično radi slučajno.
Zabilježite završenu politiku u jednoj rečenici: ovi prefiksi i imena koriste ovu vezu, sve ostalo slijedi lokalnu putanju. Zatim je držite u profilu umjesto da popravljate postavke adaptera nakon svake prijave.