VPN s telefona do kuće: učinite firewall svojim internetskim izlazom

Povezivanje telefona na kućni tunel i otvaranje LAN dijeljenja datoteka dokazuje da tunel radi. Ne dokazuje da internetski zahtjevi telefona izlaze kroz kuću. Razlika između ta dva ishoda je politika prosljeđivanja plus ruta, a ne još jedan kvadratić na telefonu. To je i razlika za koju većina ljudi pretpostavlja da ju je već podesila.

Tri odluke stvaraju izlaznu putanju: šta telefon šalje u tunel, kuda kućni gateway to prosljeđuje i šta se dešava kada tunela nema. Svaka ima način kvara koji s ekrana telefona izgleda kao ostale.

Dva skoka, dvije politike

Vanjska veza završava na kućnom VPN slušaocu. Unutrašnji paket je zaseban objekt koji se mora negdje proslijediti, a prosljeđivanje je drugačija firewall odluka od prihvatanja tunela na prvom mjestu.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Na tipičnom kućnom ruteru ovo živi u različitim skupovima pravila. Prihvatanje tunela je ulazna politika na VPN interfejsu; slanje telefonskog saobraćaja na internet je politika prosljeđivanja plus ono prevođenje izvora koje uplink treba. Ruter koji prihvati tunel i ništa ne proslijedi daje telefon koji pokazuje povezanost i ne učitava nijednu stranicu.

Ako VPN servis radi na zasebnoj mašini unutar kuće, dodajte skok. Ruter sada vidi saobraćaj koji dolazi s te mašine, pa se njegova pravila primjenjuju na adresu servera, a ne na adresu tunela telefona, i prevođenje izvora može učiniti da svaki telefon izgleda kao jedan host.

Slušalac nije filter

Odlučite gdje se provođenje dešava dok informacija koja vam treba još postoji. Na ruteru je adresa tunela telefona vidljiva i može se direktno upariti. Iza drugog prevođenja ona je nestala, a pravila napisana za adresu telefona tiho ne odgovaraju ničemu.

To je uobičajen razlog zašto politika radi za laptop, a ne za telefon. Laptop se povezuje direktno na ruter, telefon se povezuje na server koji prosljeđuje kroz ruter, i samo prva putanja čuva adresu koju pravilo očekuje. Pravilo nije pogrešno; ono uparuje vrijednost koja na tom mjestu više ne postoji.

Zapišite putanju s izvornom adresom kako se pojavljuje u svakoj tački provođenja. Taj jedan dijagram rješava većinu ovih slučajeva prije nego što se uredi bilo koje pravilo.

Šta telefon zapravo mora slati

Telefon koji dobije samo rutu do kućne podmreže šalje u tunel samo saobraćaj te podmreže. Sve ostalo izlazi preko mobilne mreže, zato dijeljenje datoteka radi, a internetski zahtjevi nikada ne stižu do kuće.

Pokrivenost punim tunelom je odluka o rutiranju na strani klijenta i mora se postaviti mehanizmom koji platforma podržava, a ne pretpostaviti iz profila koji se instalira. Kada je postavljena, ruta natrag do samog VPN servera mora ostati izvan tunela, inače klijent ne može održavati vlastiti transport.

DNS zaslužuje vlastitu odluku jer je to dio koji najvjerovatnije odstupa od ostatka saobraćaja. Adresa resolvera u profilu je prijedlog koji klijenti obrađuju različito, a aplikacija s vlastitim šifriranim resolverom može ići potpuno odvojenom putanjom. Ako kućna politika zavisi od toga da upiti stignu do određenog resolvera, provodite je tamo gdje saobraćaj stvarno prolazi ili prihvatite da neki upiti to neće učiniti. Upit koji zaobiđe vaš resolver nikada ne stiže do pravila napisanog za njega.

IPv6 pripada u isti pasus kao DNS, ne u dodatak. Pun IPv4 tunel ne govori ništa o AAAA saobraćaju, a telefon na mobilnoj mreži s dvostrukim stekom rado će za to koristiti izvornu putanju. Izaberite prijenos ili blokiranje eksplicitno.

Šta firewall može vidjeti, a šta ne

Gateway može djelovati na ono što njegova tačka provođenja otkriva: adrese, portove, protokol, interfejs i metapodatke veze. Proslijeđeni HTTPS zahtjev ne predaje tijelo stranice ni lozinku samo zato što prelazi kućni tunel.

To ograničenje vrijedi izgovoriti jer fraza „proslijedite to kroz firewall“ podrazumijeva više inspekcije nego što kućni ruter obavlja. Pravilo odredišta, DNS politika i proxy na aplikacijskom sloju tri su različite kontrole s tri različita troška uvođenja.

Ne pretpostavljajte da funkcija podešena za klijente kućne LAN mreže vrijedi i za VPN interfejs. Članstvo u zoni je izbor konfiguracije, a VPN interfejs koji nije u pravoj zoni ne nasljeđuje nijedno od pravila koja ste testirali s kauča.

Odlučite o isključenom stanju

Kada tunel nije dostupan, telefon se ili vraća na mobilnu mrežu ili odbija poslati saobraćaj. Oba su razumna, a samo jedno odgovara onome što većina ljudi vjeruje da je podesila.

Povratak je zgodan i po definiciji curi: trenutak kada tunel padne je trenutak kada zahtjevi izlaze putanjom operatera. Blokiranje je jače i čini telefon zavisnim od toga da je kuća dostupna, što je stvarni trošak dostupnosti za nekoga na putu. Ni jedno ponašanje nije greška; oba su proizvodi, i birate između njih htjeli to reći ili ne.

Testirajte izbor umjesto da ga pretpostavljate. Zaustavite kućni servis, pa pokušajte jedan zahtjev iz telefonovog preglednika i jedan iz aplikacije koja radi u pozadini. Kasnije ponovno povezivanje ne poništava zahtjeve koji su već otišli.

Završite s dvije kontrolirane provjere sa samog telefona: jedna dozvoljena operacija koja treba proći kroz kuću i jedno odbijanje koje kućna politika treba da provede. Potvrdite da je gateway zabilježio tok koji ste očekivali, u adresnoj familiji koju ste očekivali, nakon ponovnog povezivanja. Telefon koji pokazuje Povezano početak je te provjere, nikada njezin kraj.