Mbani rrugët private dhe hiqni ridrejtimin: tunel i ndarë OpenVPN

Tuneli ngrihet, aplikacioni ngarkohet dhe pastaj çdo gjë tjetër në laptop fillon të sillet çuditshëm. Kjo është forma e zakonshme e një politike vetëm për rrjeta private, e zbatuar duke fshirë një rresht. Heqja e një rruge të parazgjedhur të shtyrë ndryshon vërtet ku shkon trafiku, por nuk thotë ku duhet të shkojë trafiku në vend të kësaj, dhe nuk prek fare zgjidhjen e emrave. Një politikë ka nevojë për dy gjysma pozitive përpara se të mund të testohet.

Fshirja e ridrejtimit është vetëm gjysma e ndryshimit

Ridrejtimi i tunelit të plotë dhe politika vetëm për rrjeta private ndryshojnë në atë që pohojnë për botën. Ridrejtimi pretendon çdo destinacion, ndërsa politika private pretendon një listë dhe e lë pjesën tjetër në paqe. Fshirja e pretendimit pa shkruar listën prodhon një klient që nuk arrin asgjë jashtë LAN-it, gjë që duket si dështim i rrugëtimit dhe jo si boshllëk në politikë. Shkruani listën para se të hiqni pretendimin, dhe atëherë radha e këtyre dy hapave nuk ka më rëndësi.

Të dyja gjysmat janë kërkesa dhe jo vlera të parazgjedhura. Prefikset private duhet të hyjnë në tunel, dhe destinacionet e zakonshme duhet të mbajnë rrugën që kishin para lidhjes.

Nëse një organizatë imponon tunelin e plotë, asgjë nga kjo nuk zbatohet. Dizajni vetëm për rrjeta private i përket vendosjeve ku rrugëtimi i ndarë është miratuar.

pull-filter është një përputhje, jo një çelës

Direktiva pull-filter heq opsionet e shtyra emrat e të cilave përputhen me një prefiks, dhe kaq është gjithçka që bën. Injorimi i ridrejtimit lë çdo opsion tjetër të shtyrë në vendin e vet, gjë që zakonisht është ajo që dëshironi: rrugët, cilësimet e DNS dhe vlera e portës së rrugës vijnë gjithsesi. Nuk mund të heqë as një direktivë të shkruar në profilin lokal, sepse filtrimi zbatohet për atë që shtyn serveri.

Rezistoni tundimit për të injoruar çdo opsion që fillon me route. Ai model hedh poshtë edhe rrugët private që i nevojiten lidhjes, dhe mund të humbasë informacionin e portës nga i cili varet tuneli.

route-nopull është një vendim më i gjerë sesa duket. Ai e pengon klientin të pranojë rrugët e shtyra dhe opsionet në stilin DHCP si grup, gjë që është një politikë e ndryshme nga filtrimi i një opsioni të vetëm.

Shkruani listën e rrugëve nga aplikacioni nga jashtë

Filloni nga ajo që përdoruesi hap në të vërtetë, pastaj shtoni pjesët mbështetëse. Një aplikacion në 10.60.20.15 nënkupton nënrrjetin e vet 10.60.0.0/16, dhe një emër privat nënkupton zgjidhësin që i përgjigjet. Prandaj një përdorues që kërkoi një aplikacion të vetëm ka nevojë për dy destinacione dhe një vendim DNS. Çdo gjë përtej asaj liste është jashtë fushëveprimit nga ndërtimi, dhe kjo është ajo që e mban politikën të rishikueshme.

Në një server bashkëpunues ato bëhen dy rrugë të shtyra, dhe asnjëra prej tyre nuk është ridrejtim. Mbajini topologjinë e tunelit dhe vlerat e portës së rrugës që ofron shërbimi ekzistues.

Kur vetëm disa përdorues kanë nevojë për këtë politikë, zbatojeni për çdo klient ose grup. Ndryshimi i rrugëtimit të të gjithëve për të rregulluar kërkesën e një ekipi të vetëm është mënyra se si një tunel i ndarë bëhet ndërprerje.

Bëni DNS-në të ndjekë të njëjtën rrugë

Një rrugë drejt zgjidhësit nuk është politikë e zgjidhësit. Në një klient systemd-resolved rezultati semantik është një domen rrugëtimi për hapësirën private të emrave që tregon zgjidhësin e brendshëm, dhe kjo është ajo që bën që vetëm ata emra ta përdorin. Një klient Windows ka nevojë në vend të kësaj për mekanizmin e vet të politikës së hapësirave të emrave. Një rresht serveri DNS në profil nuk instalon asnjërën prej tyre më vete.

Kontrolloni çfarë ka zgjedhur sistemi operativ dhe jo çfarë ka kërkuar profili. Në Linux, resolvectl status shfaq domenin dhe serverin për çdo lidhje; në Windows, tabela e politikës së hapësirave të emrave është prova ekuivalente.

Mbani zgjidhësin të arritshëm përmes tunelit, përndryshe politika tregon një adresë që nuk mund të pyetet. Një adresë zgjidhësi që tuneli nuk e arrin e kthen një politikë që funksionon në një skadim kohe.

Verifikoni të dyja gjysmat në një rilidhje

Rilidhni klientin pas ndryshimit dhe shqyrtoni rrugën efektive drejt një adrese private dhe drejt një adrese publike. Pastaj zgjidhni një emër privat dhe një emër publik dhe konfirmoni se secili përdori zgjidhësin e synuar. Ngarkimi i një sajti publik provon vetëm gjysmën e dytë, dhe zakonisht kjo gjysmë funksionon rastësisht.

Regjistroni politikën e përfunduar në një fjali: këto prefikse dhe emra përdorin këtë lidhje, çdo gjë tjetër ndjek rrugën lokale. Pastaj mbajeni në profil në vend që të riparoni cilësimet e përshtatësit pas çdo hyrjeje.