Podsieť na spodnji strani proti namiznemu VPN: izločite tranzit, ne aplikacije

En stroj, dve nalogi, en požarni zid: povezava Wi-Fi navzgor, majhna podmreža Ethernet za njo in odjemalec VPN za namizje, ki predpostavlja, da je vse, kar zapusti stroj, lokalno. Lokalno zagnane aplikacije izstopijo po lokalni izhodni poti. Naprave za delovno postajo prispejo na vrata Ethernet in potrebujejo odločitev o posredovanju. Izjema, napisana za prvo pot, nikoli ne vidi druge, in zato brskalnik obide tunel, naprave pa ne.

Dve poti paketov, ena politika

Prva vrstica je tisto, kar opisuje večina vodnikov po split-tunneling. Druga je konfiguracija usmerjevalnika, ki slučajno živi na istem stroju. Zlivanje v en miselni model je napaka; delita jedro, ne pa politike. Narišite obe poti, preden uredite katero koli pravilo, in preostanek zasnove izhaja iz tega, katera pot manjka.

Tabela tudi pojasni, zakaj lahko en stroj opravi en preizkus in pade na drugem. Brskalnik na delovni postaji dokaže lokalno pot; prenosnik, priključen na vrata Ethernet, dokaže pot posredovanja. Vsako spremembo preverite z obema, sicer druga ostane nepreizkušena, ne glede na to, kolikokrat osvežite brskalnik.

Kaj izjema aplikacije dejansko razvršča

Izjema za posamezno aplikacijo običajno deluje tako, da označi pakete procesa ali uporabnika in nato usmeri označeni promet izven tunela. To je konstrukcija lokalnega izhoda. Paket z naprave na spodnji strani nima lokalnega procesa, zato se nikoli ne ujema z izbirnikom, kakršen koli je izbirnik.

Kakršen koli je izbirnik, oba seznama nista isti seznam, in to je bistvo. Vodnik Mullvad za Linux opisuje oznake, ki jih porabljata njegov požarni zid in usmerjevalna politika, primeri pa ciljajo lokalni izhod; niso podprt opis usmerjevalnika na spodnji strani. Če jih kopirate, dobite stroj, ki misli, da ima izjemo, medtem ko vse posreduje v tunel.

Napišite pogodbo o tranzitu

Skupaj poimenujte predpono vira na spodnji strani in vstopni vmesnik, nato to predpono omejite na vstopu. Brez omejitve lahko vsaka naprava, ki doseže vrata, zahteva izločen naslov in odide skozi obhod. Obravnavajte to kot dve vprašanji: smejo ti gostitelji to povezavo sploh uporabljati in smejo doseči delovno postajo ali zasebne razpone tunela? To so dodatna dovoljenja, ne stranski učinki izbire povezave.

Dovolite posredovanje in ga nato filtrirajte. Prehod Linux potrebuje omogočeno posredovanje, pravila, ki dovoljujejo predviden promet v obe smeri, ter bodisi povratno pot navzgor bodisi namerno zoženo pretvorbo vira. NAT sam ne izbere povezave in ne omogoča prehoda skozi filter; naslov prepiše šele po teh odločitvah.

Razvrščanje za tranzit se mora zgoditi pred odločitvijo o poti posredovanja, torej v stopnji prerouting in ne output. Pravilo, postavljeno po odločitvi, lahko paket še spremeni, ne more pa spremeniti, kam je bil že poslan.

Oznake pripadajo aplikaciji, ki jih ima v lasti

Vrednosti oznak, številke tabel in prioritete verig so del politike aplikacije VPN, ne večne konstante. Trajno omrežje, ki je odvisno od vstavitve pravila v tabelo, ki jo druga programska oprema obnovi, se bo ob naslednji posodobitvi zlomilo, običajno med ponovnim povezovanjem in ne ob priročnem času.

Dodajanje druge osnovne verige z razsodbo accept ne premaga nujno drop kasnejše verige. Osnovne verige imajo kavlje in prioritete, in prva razsodba v vrstnem redu zmaga; accept v eni verigi ne prekliče drop, do katerega druga veriga pride prej. Poglejte celoten nabor pravil in vrstni red usmerjevalne politike, ne enega samega števca, ki se je povečal. Števec dokazuje, da je pravilo teklo, nikoli da je bila uporabljena njegova razsodba.

Integrirajte ali premaknite podmrežo

Zasnovi se razlikujeta po tem, kdo ima obhod v lasti. Integrirana zasnova ohrani en stroj in eno politiko, za ceno odvisnosti od življenjskega cikla tabel aplikacije VPN in od nabora oznak, ki jih njena dokumentacija lahko spremeni. Namenski usmerjevalnik za omrežje na spodnji strani to odvisnost popolnoma odpravi: podmreža ima svojo povezavo navzgor, delovna postaja pa ostane odjemalec brez vloge posredovanja.

Izberite drugo, ko mora omrežje na spodnji strani delovati skozi posodobitve VPN, ali ko nihče ne more preizkusiti integrirane politike po vsaki izdaji. Izberite prvo le, ko je integracija dokumentirana in je nekdo zanjo odgovoren.

Preverite mejo v štirih stanjih: povezano, ponovno povezovanje, namerno blokirano in ustavljeno. V vsakem preverite razreševanje imen in obe družini naslovov, ker obhod, ki pušča DNS, ni izjema, ki ste jo zasnovali. Preizkus mora dokazati natančno mejo, ne le da se je naložila ena stran.