Pravidlá VPN na routeri: zlaďte zdroj a cieľ

Stránky na nákup routerov predstavujú VPN smerovanie ako jedno zaškrtávacie pole a táto fráza skrýva tri rôzne otázky. Zodpovedá pravidlo zariadeniu, ktoré prevádzku odosiela, serveru, ktorý ju prijíma, alebo obom? Čo sa stane s prevádzkou, ktorá nezodpovedá ani jednému? A keď sa dve pravidlá prekrývajú, ktoré vyhrá? Ak odpoveď zapíšete ako dvojicu zdroja a cieľa, z neurčitého zoznamu funkcií sa stane testovateľný návrh.

Názov funkcie skrýva dva konce

Prehrávač médií, ktorý má používať tunel, je zhoda zdroja. Súkromný kancelársky prefix, ktorý má byť dostupný cez tunel, je zhoda cieľa. Pracovná stanica, ktorá má tunel používať len na jednu službu, je oboje, a tým prienikom je prípad, s ktorým si väčšina spotrebiteľského firmvéru neporadí.

Zapíšte požiadavku ako dvojicu skôr, než budete porovnávať produkty. Práve túto dvojicu budete neskôr testovať.

Produkt, ktorý ponúka zoznam zariadení alebo globálny zoznam cieľov, nemusí vedieť vyjadriť „len toto zariadenie, len tieto ciele“. Rozdiel nie je kozmetický: globálne pravidlo cieľa posiela prevádzku každého zariadenia na daný web cez tunel a pravidlo zariadenia posiela všetku prevádzku daného zariadenia. Ani jedno nie je požiadavka. Otestujte tento prípad s dvoma zariadeniami, než obrazovke uveríte.

Postavte pravidlo ako prienik

Tabuľka udržiava návrh poctivý. Scenár dajte vľavo a potom oddelene pomenujte zhodu odosielateľa a zhodu cieľa:

Zaujímavý je tretí riadok, pretože potrebuje obe polovice naraz. Ak firmvér dokáže vyjadriť len jednu os, požiadavku treba rozdeliť na dve pravidlá alebo presunúť na zariadenie, ktoré to zvládne.

Udržujte identitu zdroja stabilnú. Rezervácia DHCP, vyhradený segment alebo mechanizmus identity zariadenia fungujú, ale adresa, ktorá sa po vypršaní lízingu zmení, nefunguje. Zahrňte IPv6, pretože jedna adresa IPv4 neidentifikuje všetku prevádzku zariadenia.

O prekrytí rozhoduje priorita

Prekrývanie pravidiel je normálne. Široké pravidlo zariadenia a úzke pravidlo cieľa môžu opisovať ten istý tok a dokumentované poradie priorít rozhoduje, ktoré vyhrá. Atraktívna obrazovka nastavení vám to poradie nepovie.

Prečítajte si v príručke poradie aj prípad bez zhody a potom oboje otestujte prevádzkou, ktorú môžete pozorovať:

ip rule show
ip route get 203.0.113.10

Ak dokumentácia poradie neuvádza, predpokladajte, že užšie pravidlo nemusí vyhrať, a navrhnite to s tým. Dve pravidlá, ktoré si nemôžu odporovať, sa podporujú ľahšie ako jedno šikovné pravidlo s nedokumentovanou prioritou.

Názvy potrebujú politiku obnovy

Cieľ zapísaný ako doména pridáva problém údržby. Router ho musí preložiť, obnovovať mapovanie, zvládať viac adries a subdomén a vyrovnať sa s DNS aplikácií, ktoré obchádza očakávaný prekladač.

Skopírovanie jedného výsledku dopytu do pravidla IP je snímka, nie politika domény.

Rozhodnite, aká stará môže byť odpoveď, kým je pravidlo nesprávne, a čo router urobí, keď preklad zlyhá. Pravidlo, ktoré si drží poslednú známu adresu, môže prežiť migráciu služby; pravidlo, ktoré záznam zahodí, môže potichu zastaviť tunelovanie. Oba spôsoby sú prijateľné, ak sú zapísané pri pravidle.

Definujte stav nedostupnosti

Preferencia trasy nevynucuje prevádzku len cez VPN. Keď je tunel mimo prevádzky, router môže tok zablokovať, poslať ho priamo alebo použiť iný tunel a každá voľba má iný podpis zlyhania.

Rozhodnite, ktorú požiadavka potrebuje, a potom to overte zastavením tunela a sledovaním toku:

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10

Prevádzka, ktorá vzniká na routeri, je samostatná oblasť. DNS preposielanie, kontroly aktualizácií a monitorovanie môžu spúšťať nové toky priamo z routera, namiesto toho, aby dedili zhodu zdroja zariadenia. Počítajte s týmito tokmi výslovne, inak sa v protokoloch objavia ako nevysvetlené úniky.