Zachovajte súkromné trasy a zahoďte presmerovanie: rozdelený tunel OpenVPN
Tunel len pre súkromné siete potrebuje dve pravidlá: súkromné prefixy ním prechádzajú, bežné prehliadanie si zachováva svoju miestnu cestu. Zmazanie predvolenej trasy nie je politika.
Tunel sa zdvihne, aplikácia sa načíta a potom sa všetko ostatné na notebooku začne správať zvláštne. To je obvyklá podoba politiky len pre súkromné siete zavedenej zmazaním jedného riadku. Odstránenie pretlačenej predvolenej trasy síce zmení, kam prevádzka ide, ale nehovorí, kam má prevádzka ísť namiesto toho, a vôbec sa nedotýka prekladu mien. Politika potrebuje dve kladné polovice, aby sa dala otestovať.
Zmazanie presmerovania je len polovica zmeny
Presmerovanie celého tunela a politika len pre súkromné siete sa líšia v tom, čo tvrdia o svete. Presmerovanie si nárokuje každé cieľové miesto, kým súkromná politika si nárokuje zoznam a zvyšok necháva na pokoji. Zmazanie nároku bez napísania zoznamu vytvorí klienta, ktorý sa nedostane nikam mimo lokálnej siete, čo vyzerá ako zlyhanie smerovania a nie ako medzera v politike. Napíšte zoznam skôr, než nárok odstránite, a poradie týchto dvoch krokov prestane hrať rolu.
Obe polovice sú požiadavky, nie predvolené hodnoty. Súkromné prefixy musia vstúpiť do tunela a bežné cieľové miesta si musia zachovať cestu, ktorú mali pred pripojením.
Ak organizácia nariaďuje plný tunel, nič z toho neplatí. Návrh len pre súkromné siete patrí k nasadeniam, kde je rozdelené smerovanie schválené.
pull-filter je zhoda, nie prepínač
Direktíva pull-filter odstraňuje pretlačené voľby, ktorých názvy zodpovedajú prefixu, a to je všetko, čo robí. Ignorovanie presmerovania nechá každú ďalšiu pretlačenú voľbu na mieste, čo je zvyčajne to, čo chcete: trasy, nastavenia DNS a hodnota brány trasy stále dorazia. Nemôže tiež odstrániť direktívu zapísanú v lokálnom profile, pretože filtrovanie sa týka toho, čo pretláča server.
Odolajte pokušeniu ignorovať každú voľbu začínajúcu na route. Tento vzor tiež zahadzuje súkromné trasy, ktoré pripojenie potrebuje, a môže zhodiť informácie o bráne, na ktorých tunel závisí.
route-nopull je širšie rozhodnutie, než sa zdá. Zabraňuje klientovi prijať pretlačené trasy a voľby v štýle DHCP ako skupinu, čo je iná politika než odfiltrovanie jednej voľby.
Napíšte zoznam trás od aplikácie smerom von
Začnite tým, čo používateľ skutočne otvára, a potom pridajte podporné časti. Aplikácia na 10.60.20.15 implikuje svoju podsúť 10.60.0.0/16 a súkromné meno implikuje prekladač, ktorý naň odpovedá. Používateľ, ktorý požiadal o jednu aplikáciu, preto potrebuje dve cieľové miesta a jedno rozhodnutie o DNS. Všetko za týmto zoznamom je konštrukčne mimo rozsahu a práve to udržiava politiku preskúmateľnou.
Na spolupracujúcom serveri sa z toho stanú dve pretlačené trasy a ani jedna z nich nie je presmerovanie. Zachovajte topológiu tunela a hodnoty brány trasy, ktoré dodáva existujúca služba.
Keď túto politiku potrebujú len niektorí používatelia, použite ju pre jednotlivého klienta alebo skupinu. Meniť smerovanie všetkým, aby sa vyriešila požiadavka jedného tímu, je spôsob, akým sa rozdelený tunel stane výpadkom.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
Nechajte DNS ísť tou istou cestou
Trasa k prekladaču nie je politika prekladača. Na klientovi systemd-resolved je sémantickým výsledkom smerovacia doména pre súkromný menný priestor ukazujúca na interný prekladač, a práve to spôsobuje, že ho používajú len tie mená. Klient Windows potrebuje namiesto toho vlastný mechanizmus politiky menných priestorov. Riadok servera DNS v profile sám o sebe neinštaluje ani jedno z toho.
Kontrolujte, čo vybral operačný systém, nie čo požadoval profil. V Linuxe resolvectl status ukazuje doménu a server pre každé spojenie; vo Windows je ekvivalentným dôkazom tabuľka politiky menných priestorov.
Udržujte prekladač dostupný cez tunel, inak politika ukazuje na adresu, na ktorú sa nedá opýtať. Adresa prekladača, na ktorú sa tunel nedostane, premení fungujúcu politiku na vypršanie časového limitu.
Overte obe polovice pri opätovnom pripojení
Po zmene znova pripojte klienta a prezrite efektívnu trasu k súkromnej adrese a k verejnej. Potom preložte súkromné meno a verejné meno a potvrďte, že každé použilo zamýšľaný prekladač. Načítanie verejnej webovej stránky dokazuje len druhú polovicu a práve tá polovica zvyčajne funguje náhodou.
Zaznamenajte hotovú politiku jednou vetou: tieto prefixy a mená používajú toto pripojenie, všetko ostatné ide miestnou cestou. Potom ju držte v profile, namiesto opravovania nastavení adaptéra po každom prihlásení.