VPN z telefónu domov: urobte z firewalu svoj internetový východ

Pripojenie telefónu k domácemu tunelu a otvorenie zdieľania súborov v LAN dokazuje, že tunel funguje. Nedokazuje, že internetové požiadavky telefónu odchádzajú cez dom. Rozdiel medzi týmito dvoma výsledkami je politika presmerovania plus trasa, nie ďalšie zaškrtávacie políčko v telefóne. Je to aj rozdiel, o ktorom si väčšina ľudí myslí, že ho už nastavila.

Výstupnú cestu vytvárajú tri rozhodnutia: čo telefón posiela do tunela, kam to domáca brána presmerúva a čo sa stane, keď tunel nie je. Každé má režim zlyhania, ktorý z obrazovky telefónu vyzerá ako ostatné.

Dva skoky, dve politiky

Vonkajšie spojenie končí pri domácom poslucháčovi VPN. Vnútorný paket je samostatný objekt, ktorý treba niekam presmerovať, a presmerovanie je iné rozhodnutie firewallu ako prijatie tunela na prvom mieste.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Na typickom domácom routeri žijú tieto veci v rôznych sadách pravidiel. Prijatie tunela je vstupná politika na rozhraní VPN; odoslanie prevádzky telefónu do internetu je politika presmerovania plus preklad zdroja, ktorý uplink potrebuje. Router, ktorý tunel prijme a nič nepresmeruje, vytvorí telefón, ktorý ukazuje pripojené a nenačíta žiadnu stránku.

Ak služba VPN beží na samostatnom stroji v dome, pridajte skok. Router teraz vidí prevádzku prichádzajúcu z tohto stroja, takže jeho pravidlá platia pre adresu servera, nie pre adresu tunela telefónu, a preklad zdroja môže každý telefón vydávať za jedného hostiteľa.

Poslucháč nie je filter

Rozhodnite, kde k vynúteniu dôjde, kým informácia, ktorú potrebujete, ešte existuje. Na routeri je adresa tunela telefónu viditeľná a dá sa priamo porovnať. Za druhým prekladom už nie je, a pravidlá napísané pre adresu telefónu ticho nezodpovedajú ničomu.

To je obvyklý dôvod, prečo politika funguje pre notebook a nie pre telefón. Notebook sa pripája priamo k routeru, telefón sa pripája k serveru, ktorý presmerúva cez router, a len prvá cesta zachováva adresu, ktorú pravidlo očakáva. Pravidlo nie je nesprávne; porovnáva hodnotu, ktorá v tom mieste už neexistuje.

Zapíšte cestu s adresou zdroja tak, ako vyzerá v každom mieste vynútenia. Tento jediný diagram vyrieši väčšinu týchto prípadov skôr, než sa upraví akékoľvek pravidlo.

Čo musí telefón skutočne posielať

Telefón, ktorý dostane len trasu do domácej podsiete, posiela do tunela len prevádzku tejto podsiete. Všetko ostatné odchádza cez mobilnú sieť, a preto zdieľanie súborov funguje a internetové požiadavky sa do domu nikdy nedostanú.

Plné pokrytie tunelom je rozhodnutie o smerovaní na strane klienta a musí sa nastaviť mechanizmom, ktorý platforma podporuje, nie predpokladať z profilu, ktorý sa inštaluje. Po nastavení musí trasa späť k samotnému serveru VPN zostať mimo tunela, inak klient nemôže udržať vlastný transport.

DNS si zaslúži vlastné rozhodnutie, pretože je to časť, ktorá sa najpravdepodobnejšie odchýli od zvyšku prevádzky. Adresa resolvera v profile je návrh, ktorý klienti spracúvajú rôzne, a aplikácia s vlastným šifrovaným resolverom môže ísť úplne oddelenou cestou. Ak domáca politika závisí od toho, či sa požiadavky dostanú k určitému resolveru, vynucujte ju tam, kde prevádzka skutočne prechádza, alebo prijmite, že niektoré požiadavky to neurobia. Požiadavka, ktorá obíde váš resolver, sa nikdy nedostane k pravidlu napísanému pre ňu.

IPv6 patrí do rovnakého odseku ako DNS, nie do dodatku. Plný tunel IPv4 nehovorí nič o prevádzke AAAA a telefón v mobilnej sieti s dvojitým zásobníkom na to rád použije natívnu cestu. Zvoľte prenos alebo blokovanie výslovne.

Čo firewall vidí a čo nie

Brána môže konať podľa toho, čo odhalí jej miesto vynútenia: adresy, porty, protokol, rozhranie a metadáta spojenia. Presmerovaná požiadavka HTTPS nevydá telo stránky ani heslo len preto, že prechádza domácim tunelom.

Toto obmedzenie stojí za zmienku, pretože fráza „pretlačte to firewallom“ naznačuje viac inšpekcie, než domáci router vykonáva. Pravidlo cieľa, politika DNS a proxy na aplikačnej vrstve sú tri rôzne kontroly s tromi rôznymi nákladmi na nasadenie.

Nepredpokladajte, že funkcia nastavená pre klientov domácej LAN platí aj pre rozhranie VPN. Členstvo v zóne je voľba konfigurácie a rozhranie VPN, ktoré nie je v správnej zóne, nededia žiadne z pravidiel, ktoré ste vyskúšali z gauča.

Rozhodnite o odpojenom stave

Keď tunel nie je dostupný, telefón sa buď vráti na mobilnú sieť, alebo odmietne prevádzku odoslať. Oboje je rozumné a len jedno zodpovedá tomu, čo si väčšina ľudí myslí, že nastavila.

Návrat je pohodlný a podľa definície uniká: okamih, keď tunel spadne, je okamihom, keď požiadavky odchádzajú cestou operátora. Blokovanie je silnejšie a robí telefón závislým od dostupnosti domu, čo je skutočná cena dostupnosti pre človeka na cestách. Ani jedno správanie nie je chyba; obe sú produkty a vy medzi nimi volíte, či to poviete, alebo nie.

Voľbu otestujte, namiesto toho, aby ste ju predpokladali. Zastavte domácu službu, potom skúste jednu požiadavku z prehliadača telefónu a jednu z aplikácie bežiacej na pozadí. Neskoršie opätovné pripojenie nezruší požiadavky, ktoré už odišli.

Skončite dvoma riadenými kontrolami zo samotného telefónu: jedna povolená operácia, ktorá má prejsť domom, a jedno odmietnutie, ktoré má domáca politika vynútiť. Potvrďte, že brána zaznamenala tok, ktorý ste očakávali, v adresnej rodine, ktorú ste očakávali, po opätovnom pripojení. Telefón ukazujúci Pripojené je začiatok tohto overenia, nikdy jeho koniec.