Si tuneli i ndarë vendos se cili trafik përdor VPN-në

Tuneli i ndarë është një politikë rrugëtimi e shprehur si një grup rregullash, dhe klienti është vetëm gjëja që i instalon ato. Ndarja ndodh në dy vende: rregulla përputhjeje që zgjedhin një rrugë për çdo paketë, dhe lidhje që mbajnë një aplikacion në një ndërfaqe, çfarëdo që thotë tabela. Në cilin mekanizëm mbështetet klienti juaj shpjegon shumicën e surprizave që njerëzit raportojnë.

Një politikë që mund ta shprehni në një rresht është e testueshme. Një politikë e përshkruar si shfletim më i shpejtë nuk është, dhe nuk do t'ju thotë cilën rregull të ndryshoni kur një kërkesë shkon në drejtimin e gabuar.

Klienti instalon rregullat, bërthama bën zgjedhjen

Kur tuneli ngrihet, klienti shton rrugë dhe shpesh rregulla politike në të njëjtën tabelë që përdorin ndërfaqet e tjera tuaja. Çdo paketë më pas arrin në një kërkim që krahason destinacionin me çdo prefiks kandidat dhe mban përputhjen më specifike, ndërsa përparësia zgjidh barazimet midis rregullave që tregojnë tabela të ndryshme. Asgjë në atë kërkim nuk e di se paketa erdhi nga një skedë shfletuesi dhe jo nga një punë rezervë. Rregulli që fiton është ai që përcakton rrugën, dhe mund ta lexoni para dhe pas ndryshimit.

Prandaj një tunel i ndarë mund të duket arbitrar. Dy destinacione në të njëjtin aplikacion mund të marrin rrugë të ndryshme vetëm sepse një prefiks është më i ngushtë se tjetri.

E njëjta zgjedhje ekziston në çdo platformë, ndonëse emrat ndryshojnë. Windows e shtyn vendimin në platformën e tij të filtrave, Android ekspozon një listë lejimesh për aplikacion përmes shërbimit të tij VPN, dhe macOS e lidh tunelin me një pajisje që ende i bindet tabelës së rrugëtimit. Shënimet e Microsoft për rrugëtimin ia vlen të lexohen për rastin Windows, dhe një udhëzues i shkruar për një platformë rrallë transferohet i pandryshuar në një tjetër.

Lidhja për aplikacion dhe prefikset e destinacionit janë mjete të ndryshme

Një politikë destinacioni pyet ku shkon paketa dhe konsulton tabelën e rrugëve ose një rregull politike. Një politikë për aplikacion pyet cili program hapi soketin, dhe platforma e mban atë program në ndërfaqen e tunelit edhe kur një rrugë më specifike tregon diku tjetër. E dyta është më e fortë sepse i mbijeton ndryshimeve të tabelës, por mbulon vetëm proceset që platforma mund t'ia atribuojë. Një proces ndihmës, një shfletues i integruar ose një shërbim që hap lidhjen e vet mund të mos trashëgojë lidhjen që supozuat.

Asnjëra nga dy qasjet nuk i mbijeton një politike të bazuar në emra pa ndihmë. Adresat e faqeve të mëdha rrotullohen midis rrjeteve të përmbajtjes, kështu që fiksimi i një emri host në disa prefikse prodhon një rregull që heshtazi ndalon përputhjen. Një politikë që duhet të ndjekë emrat kërkon një komponent që njeh zgjidhësin në vend të një rruge statike.

DNS dhe çelësi i sigurisë ndjekin rregullat e tyre

Zgjidhja e emrave është një vendim i veçantë nga rrugëtimi i paketave, dhe një tunel i ndarë zakonisht do dy zgjidhës: atë të kompanisë për emrat e brendshëm, atë lokal për gjithçka tjetër. Klienti mund të instalojë cilësime DNS për çdo ndërfaqe, t'ua dorëzojë kërkesat një zgjidhësi ndërmjetës ose të lërë parazgjedhjen e sistemit të paprekur. Një shfletues me zgjidhësin e vet të kriptuar i shmang të tre rregullimet. Testoni një kërkim në vend që të supozoni se zgjidhësi ndoqi rrugën.

Një çelës sigurie shton një filtër sipër, dhe ai filtër nuk e dallon gjithmonë një përjashtim të qëllimshëm nga një rrjedhje aksidentale. Disa klientë bllokojnë gjithçka jashtë tunelit, ndërsa të tjerë lejojnë përjashtimet që deklaron politika, prandaj lexoni cilin sjellje zbaton i juaji përpara se të mbështeteni në ndonjërin.

Kontrolloni ndarjen nga të dyja anët

Testoni rrugën e përfshirë dhe rrugën e përjashtuar veçmas, dhe gjykoni rezultatin nga emri i ndërfaqes dhe jo nga një adresë publike. Këto komanda supozojnë një host Linux me pajisjen e tunelit tashmë lart. Zëvendësoni 203.0.113.10 me një destinacion që politika juaj e drejton nga brenda, dhe 198.51.100.25 me një që e dërgon jashtë.

ip route get 203.0.113.10
ip route get 198.51.100.25
resolvectl query intranet.example.com
curl -s --interface tun0 https://example.com -o /dev/null -w '%{http_code}\n'

Lexoni dy përgjigjet e para së bashku, sepse ndërfaqja e emërtuar në secilën tregon nëse ndarja e vendosi atë destinacion në tunel. Kërkimi te zgjidhësi tregon cili server u përgjigj për emrin e brendshëm, dhe komanda e fundit provon se pajisja e tunelit mund të mbajë një kërkesë. Një dështim në rreshtin e dytë ndërsa i pari ka sukses do të thotë se politika bën saktësisht atë që i është thënë.

Përsëriteni grupin pas një rilidhjeje dhe pas një ndryshimi rrjeti. Rinovimi i qirasë dhe lëvizja e ndërfaqeve janë vendet ku një ndarje ndalon t'i përgjigjet qëllimit për të cilin u ndërtua, dhe një dalje e ruajtur nga çdo ekzekutim e bën zhvendosjen të dukshme.