Nënrrjeti i poshtëm kundrejt VPN-së të desktopit: përjashto tranzitin, jo aplikacionet

Një makinë, dy punë, një firewall: një lidhje Wi-Fi lart, një nënrrjet i vogël Ethernet pas saj dhe një klient VPN desktop që supozon se gjithçka që del nga makina është lokale. Aplikacionet e nisura lokalisht dalin përmes rrugës lokale të daljes. Pajisjet pas stacionit të punës mbërrijnë në portën Ethernet dhe kanë nevojë për një vendim përcjelljeje. Një përjashtim i shkruar për rrugën e parë nuk e sheh kurrë të dytën, dhe prandaj një shfletues e anashkalon tunelin, ndërsa pajisjet jo.

Dy rrugë paketash, një politikë

Rreshti i parë është ajo që përshkruajnë shumica e udhëzuesve të split-tunneling. I dyti është një konfigurim ruteri që ndodh të jetojë në të njëjtën makinë. Shkrirja e tyre në një model mendor është gabimi; ata ndajnë një kernel, por jo një politikë. Vizato të dyja rrugët përpara se të redaktoni çdo rregull, dhe pjesa tjetër e dizajnit rrjedh nga cila rrugë mungon.

Tabela gjithashtu shpjegon pse një makinë mund të kalojë një test dhe të dështojë në një tjetër. Shfletuesi në stacionin e punës vërteton rrugën lokale; një laptop i lidhur në portën Ethernet vërteton rrugën e përcjelljes. Vlerëso çdo ndryshim me të dyja, përndryshe e dyta mbetet e patestuar, sado herë të rifreskohet shfletuesi.

Çfarë klasifikon në të vërtetë një përjashtim aplikacioni

Një përjashtim për aplikacion zakonisht funksionon duke shënuar paketat e një procesi ose të një përdoruesi dhe më pas duke e drejtuar trafikun e shënuar jashtë tunelit. Ky është një konstruksion i daljes lokale. Një paketë nga një pajisje e poshtme nuk ka proces lokal, kështu që nuk përputhet kurrë me përzgjedhësin, çfarëdo qoftë përzgjedhësi.

Çfarëdo qoftë përzgjedhësi, dy listat nuk janë e njëjta listë, dhe pikërisht kjo është çështja. Udhëzuesi i Mullvad për Linux përshkruan shenjat që konsumon firewalli dhe politika e tij e rrugëtimit, dhe shembujt e tij synojnë daljen lokale; ata nuk janë një përshkrim i mbështetur i një ruteri të poshtëm. Kopjimi i tyre prodhon një makinë që beson se ka një përjashtim ndërsa përcjell gjithçka në tunel.

Shkruaj kontratën e tranzitit

Emërto bashkë prefiksin e burimit të poshtëm dhe ndërfaqen e hyrjes, pastaj kufizo atë prefiks në hyrje. Pa kufizimin, çdo pajisje që arrin portën mund të kërkojë një adresë të përjashtuar dhe të dalë përmes anashkalimit. Trajtoje si dy pyetje: a mund t'i përdorin këta hoste këtë lidhje fare, dhe a mund të arrijnë stacionin e punës ose intervalet private të tunelit? Këto janë leje shtesë, jo efekte anësore të zgjedhjes së lidhjes.

Lejo përcjelljen, pastaj filtroje. Gateway-i Linux ka nevojë për përcjellje të aktivizuar, rregulla që lejojnë trafikun e synuar në të dy drejtimet, dhe ose një rrugë kthimi lart, ose një përkthim burimi të kufizuar me qëllim. Vetëm NAT nuk e zgjedh lidhjen dhe nuk lejon kalimin përmes një filtri; ai rishkruan një adresë vetëm pas atyre vendimeve.

Klasifikimi për tranzitin duhet të ndodhë përpara vendimit të rrugës së përcjelljes, domethënë në fazën prerouting dhe jo në output. Një rregull i vendosur pas vendimit mund ta ndryshojë ende paketën, por nuk mund të ndryshojë ku është dërguar tashmë.

Shenjat i takojnë aplikacionit që i zotëron

Vlerat e shenjave, numrat e tabelave dhe përparësitë e zinxhirëve janë pjesë e politikës së aplikacionit VPN, jo konstante të përjetshme. Një rrjet i qëndrueshëm që varet nga futja e një rregulli në një tabelë që një program tjetër e rigjeneron do të thyhet në përditësimin tjetër, zakonisht gjatë një rilidhjeje dhe jo në një kohë të përshtatshme.

Shtimi i një zinxhiri të dytë bazë me verdikt accept nuk e anulon domosdoshmërisht drop-in e një zinxhiri të mëvonshëm. Zinxhirët bazë kanë grepa dhe përparësi, dhe verdikti i parë në renditje fiton; një accept në një zinxhir nuk anulon një drop që një zinxhir tjetër e arrin më parë. Shiko grupin e plotë të rregullave dhe renditjen e politikës së rrugëtimit, jo numëruesin e vetëm që u rrit. Numëruesi dëshmon se një rregull ekzekutohet, kurrë se verdikti i tij ishte ai i aplikuari.

Integro, ose zhvendos nënrrjetin

Dy dizajnet ndryshojnë në atë se kush e zotëron anashkalimin. Një dizajn i integruar mban një makinë dhe një politikë, me koston e varësisë nga cikli i jetës i tabelave të aplikacionit VPN dhe nga një grup shenjash që dokumentacioni i tij mund t'i ndryshojë. Një ruter i dedikuar për rrjetin e poshtëm e heq plotësisht atë varësi: nënrrjeti ka lidhjen e vet lart, dhe stacioni i punës mbetet një klient pa rol përcjelljeje.

Zgjidh të dytin kur rrjeti i poshtëm duhet të vazhdojë të punojë përmes përditësimeve të VPN, ose kur askush nuk mund ta testojë politikën e integruar pas çdo versioni. Zgjidh të parin vetëm kur integrimi është i dokumentuar dhe dikush përgjigjet për të.

Verifiko kufirin në katër gjendje: i lidhur, duke u rilidhur, i bllokuar me qëllim dhe i ndalur. Kontrollo zgjidhjen e emrave dhe të dy familjet e adresave në secilën, sepse një anashkalim që rrjedh DNS nuk është përjashtimi që ke projektuar. Testi duhet të provojë kufirin e saktë, jo vetëm që u ngarkua një faqe.