Obdržite zasebne poti in opustite preusmeritev: razdeljen tunel OpenVPN
Tunel samo za zasebna omrežja potrebuje dve pravili: zasebne predpone gredo skozenj, običajno brskanje ohrani svojo lokalno pot. Brisanje privzete poti ni politika.
Tunel se dvigne, aplikacija se naloži in nato se vse drugo na prenosniku začne čudno vesti. To je običajna oblika politike samo za zasebna omrežja, izvedene z brisanjem ene vrstice. Odstranitev potisnjene privzete poti res spremeni, kam gre promet, ne pove pa, kam naj bi promet šel namesto tega, in se razreševanja imen sploh ne dotakne. Politika potrebuje dve pozitivni polovici, preden jo je mogoče preizkusiti.
Brisanje preusmeritve je le polovica spremembe
Preusmeritev celotnega tunela in politika samo za zasebna omrežja se razlikujeta v tem, kaj trdita o svetu. Preusmeritev zahteva vsako ciljno mesto, medtem ko zasebna politika zahteva seznam in ostalo pusti pri miru. Brisanje zahteve brez pisanja seznama ustvari odjemalca, ki ne doseže ničesar zunaj lokalnega omrežja, kar je videti kot napaka pri usmerjanju in ne kot vrzel v politiki. Napišite seznam, preden odstranite zahtevo, in vrstni red teh dveh korakov preneha biti pomemben.
Obe polovici sta zahtevi in ne privzeti vrednosti. Zasebne predpone morajo vstopiti v tunel, običajna ciljna mesta pa morajo ohraniti pot, ki so jo imela pred povezavo.
Če organizacija predpisuje polni tunel, nič od tega ne velja. Zasnova samo za zasebna omrežja sodi k uvedbam, kjer je razdeljeno usmerjanje odobreno.
pull-filter je ujemanje, ne stikalo
Direktiva pull-filter odstrani potisnjene možnosti, katerih imena se ujemajo s predpono, in to je vse, kar počne. Če preusmeritev prezrete, vsaka druga potisnjena možnost ostane na svojem mestu, kar je običajno tisto, kar želite: poti, nastavitve DNS in vrednost prehoda poti še vedno prispejo. Prav tako ne more odstraniti direktive, zapisane v lokalnem profilu, ker filtriranje velja za to, kar potiska strežnik.
Uprite se skušnjavi, da bi prezrli vsako možnost, ki se začne z route. Ta vzorec zavrže tudi zasebne poti, ki jih povezava potrebuje, in lahko izgubi informacije o prehodu, od katerih je odvisen tunel.
route-nopull je širša odločitev, kot se zdi. Odjemalcu prepreči, da bi potisnjene poti in možnosti v slogu DHCP sprejel kot skupino, kar je drugačna politika od filtriranja ene možnosti.
Napišite seznam poti od aplikacije navzven
Začnite s tem, kar uporabnik v resnici odpre, nato dodajte podporne dele. Aplikacija na 10.60.20.15 pomeni svojo podomrežje 10.60.0.0/16, zasebno ime pa pomeni razreševalnik, ki nanj odgovarja. Uporabnik, ki je zahteval eno aplikacijo, torej potrebuje dve ciljni mesti in eno odločitev o DNS. Vse za tem seznamom je po zgradbi zunaj obsega in prav to ohranja politiko pregledno.
Na sodelujočem strežniku to postaneta dve potisnjeni poti in nobena od njiju ni preusmeritev. Ohranite topologijo tunela in vrednosti prehoda poti, ki jih zagotavlja obstoječa storitev.
Ko to politiko potrebuje le nekaj uporabnikov, jo uporabite za posameznega odjemalca ali skupino. Spreminjanje usmerjanja vsem, da bi odpravili zahtevo ene ekipe, je pot, po kateri razdeljen tunel postane izpad.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
Naj DNS sledi isti poti
Pot do razreševalnika ni politika razreševalnika. Na odjemalcu systemd-resolved je pomenski rezultat usmerjevalna domena za zasebni imenski prostor, ki kaže na notranji razreševalnik, in prav to povzroči, da ga uporabljajo le ta imena. Odjemalec Windows potrebuje namesto tega svoj mehanizem politike imenskih prostorov. Vrstica strežnika DNS v profilu sama po sebi ne namesti nobenega od obeh.
Preverite, kaj je izbral operacijski sistem, in ne, kaj je zahteval profil. V Linuxu resolvectl status prikaže domeno in strežnik za vsako povezavo; v Windowsu je tabela politike imenskih prostorov enakovreden dokaz.
Ohranite razreševalnik dosegljiv skozi tunel, sicer politika kaže na naslov, ki ga ni mogoče poizvedovati. Naslov razreševalnika, do katerega tunel ne seže, spremeni delujočo politiko v potek časa.
Preverite obe polovici pri ponovni povezavi
Po spremembi znova povežite odjemalca in preglejte dejansko pot do zasebnega in do javnega naslova. Nato razrešite zasebno ime in javno ime ter potrdite, da je vsako uporabilo predvideni razreševalnik. Nalaganje javnega spletnega mesta dokazuje le drugo polovico in prav ta polovica običajno deluje po naključju.
Zapišite končno politiko v enem stavku: te predpone in imena uporabljajo to povezavo, vse ostalo sledi lokalni poti. Nato jo hranite v profilu, namesto da bi po vsaki prijavi popravljali nastavitve vmesnika.