VPN s telefona domov: naredite požarni zid svoj internetni izhod

Povezava telefona z domačim tunelom in odprtje skupne rabe datotek v LAN dokazuje, da tunel deluje. Ne dokazuje, da internetne zahteve telefona zapustijo hišo. Razlika med tema dvema izidoma je politika posredovanja plus pot, ne še eno potrditveno polje v telefonu. To je tudi razlika, za katero večina ljudi domneva, da jo je že nastavila.

Tri odločitve ustvarijo izhodno pot: kaj telefon pošlje v tunel, kam domača prehodna postaja to posreduje in kaj se zgodi, ko tunela ni. Vsaka ima način odpovedi, ki je z zaslona telefona videti kot drugi.

Dva skoka, dve politiki

Zunanja povezava se konča pri domačem poslušalcu VPN. Notranji paket je ločen predmet, ki ga je treba nekam posredovati, in posredovanje je druga odločitev požarnega zidu kot sprejetje tunela na začetku.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Na običajnem domačem usmerjevalniku ti živijo v različnih nizih pravil. Sprejetje tunela je vhodna politika na vmesniku VPN; pošiljanje prometa telefona v internet je politika posredovanja plus prevajanje vira, ki ga uplink potrebuje. Usmerjevalnik, ki tunel sprejme in ničesar ne posreduje, ustvari telefon, ki kaže povezano in ne naloži nobene strani.

Če storitev VPN teče na ločenem stroju v hiši, dodajte skok. Usmerjevalnik zdaj vidi promet, ki prihaja s tega stroja, zato njegova pravila veljajo za naslov strežnika in ne za naslov tunela telefona, prevajanje vira pa lahko naredi vsak telefon videti kot enega gostitelja.

Poslušalec ni filter

Odločite se, kje se izvaja uveljavljanje, dokler potrebna informacija še obstaja. Na usmerjevalniku je naslov tunela telefona viden in ga je mogoče neposredno primerjati. Za drugim prevajanjem ga ni več, in pravila, napisana za naslov telefona, tiho ne ustrezajo ničemur.

To je običajen razlog, da politika deluje za prenosnik in ne za telefon. Prenosnik se poveže neposredno z usmerjevalnikom, telefon se poveže s strežnikom, ki posreduje skozi usmerjevalnik, in le prva pot ohrani naslov, ki ga pravilo pričakuje. Pravilo ni napačno; primerja vrednost, ki na tisti točki ne obstaja več.

Zapišite pot z izvornim naslovom, kot se pojavi na vsaki točki uveljavljanja. Ta en diagram reši večino teh primerov, preden je urejeno katero koli pravilo.

Kaj mora telefon dejansko poslati

Telefon, ki prejme le pot v domače podomrežje, pošlje v tunel le promet tega podomrežja. Vse drugo odide skozi mobilno omrežje, zato skupna raba datotek deluje in internetne zahteve nikoli ne dosežejo hiše.

Pokritost s celotnim tunelom je odločitev o usmerjanju na strani odjemalca in jo je treba nastaviti z mehanizmom, ki ga platforma podpira, ne pa domnevati iz profila, ki se namešča. Ko je nastavljena, mora pot nazaj do samega strežnika VPN ostati zunaj tunela, sicer odjemalec ne more vzdrževati lastnega prevoza.

DNS si zasluži lastno odločitev, ker je to del, ki najverjetneje odstopa od preostalega prometa. Naslov resolverja v profilu je predlog, ki ga odjemalci obravnavajo različno, in aplikacija z lastnim šifriranim resolverjem lahko ubere povsem ločeno pot. Če je domača politika odvisna od tega, da zahteve dosežejo določen resolver, jo uveljavite tam, kjer promet dejansko prehaja, ali sprejmite, da nekatere zahteve tega ne bodo storile. Zahteva, ki obide vaš resolver, nikoli ne doseže pravila, napisanega zanjo.

IPv6 sodi v isti odstavek kot DNS, ne v prilogo. Celoten tunel IPv4 ne pove ničesar o prometu AAAA, in telefon v mobilnem omrežju z dvojnim skladom bo za to z veseljem uporabil izvorno pot. Izberite prenos ali blokiranje izrecno.

Kaj požarni zid lahko in česa ne more videti

Prehodna postaja lahko deluje na podlagi tega, kar razkrije njena točka uveljavljanja: naslovi, vrata, protokol, vmesnik in metapodatki povezave. Posredovana zahteva HTTPS ne izroči telesa strani ali gesla samo zato, ker prečka domači tunel.

To mejo velja izreči, ker besedna zveza „spustite to skozi požarni zid“ pomeni več pregledovanja, kot ga opravi domači usmerjevalnik. Pravilo cilja, politika DNS in posrednik na aplikacijskem sloju so tri različne kontrole s tremi različnimi stroški uvajanja.

Ne domnevajte, da funkcija, nastavljena za odjemalce domačega LAN, velja tudi za vmesnik VPN. Članstvo v območju je izbira konfiguracije, in vmesnik VPN, ki ni v pravo območje, ne podeduje nobenega od pravil, ki ste jih preizkusili s kavča.

Odločite se o odklopljenem stanju

Ko tunel ni na voljo, telefon se bodisi vrne v mobilno omrežje bodisi zavrne pošiljanje prometa. Oboje je smiselno in le eno od tega ustreza temu, kar večina verjame, da je nastavila.

Vrnitev je priročna in po definiciji pušča: trenutek, ko tunel pade, je trenutek, ko zahteve odidejo po poti operaterja. Blokiranje je močnejše in naredi telefon odvisen od tega, da je hiša dosegljiva, kar je za popotnika resničen strošek razpoložljivosti. Nobeno od obeh vedenj ni napaka; oboje so izdelki in izbirate med njima, ali to poveste ali ne.

Preizkusite izbiro, namesto da bi jo domnevali. Ustavite domačo storitev, nato poskusite eno zahtevo iz brskalnika telefona in eno iz aplikacije, ki teče v ozadju. Poznejše ponovno povezovanje ne razveljavi zahtev, ki so že odšle.

Končajte z dvema nadzorovanima preverjanjema s samega telefona: ena dovoljena operacija, ki mora prečkati hišo, in ena zavrnitev, ki jo mora domača politika uveljaviti. Potrdite, da je prehodna postaja zabeležila pričakovani tok v pričakovani naslovni družini po ponovnem povezovanju. Telefon, ki kaže Povezano, je začetek tega preverjanja, nikoli konec.