VPN nga telefoni në shtëpi: bëje firewall-in daljen tënde në internet

Lidhja e një telefoni me tunelin e shtëpisë dhe hapja e një ndarjeje skedarësh në LAN provon se tuneli funksionon. Nuk provon se kërkesat e internetit të telefonit dalin përmes shtëpisë. Diferenca midis këtyre dy rezultateve është një politikë përcjelljeje plus një rrugë, jo një kuti tjetër zgjedhjeje në telefon. Është gjithashtu diferenca që shumica e njerëzve mendojnë se e kanë konfiguruar tashmë.

Tre vendime prodhojnë rrugën e daljes: çfarë dërgon telefoni në tunel, ku e përcjell porta e shtëpisë dhe çfarë ndodh kur tuneli nuk është aty. Secili ka një mënyrë dështimi që nga ekrani i telefonit duket si të tjerat.

Dy kërcime, dy politika

Lidhja e jashtme përfundon te dëgjuesi VPN i shtëpisë. Paketa e brendshme është një objekt më vete që duhet përcjellë diku, dhe përcjellja është një vendim firewall i ndryshëm nga pranimi i tunelit në fillim.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Në një router shtëpiak tipik këto jetojnë në grupe rregullash të ndryshme. Pranimi i tunelit është politikë hyrëse në ndërfaqen VPN; dërgimi i trafikut të telefonit në internet është politikë përcjelljeje plus përkthimi i burimit që i duhet uplink-ut. Një router që pranon tunelin dhe nuk përcjell asgjë prodhon një telefon që shfaqet i lidhur dhe nuk ngarkon asnjë faqe.

Nëse shërbimi VPN ekzekutohet në një makinë të veçantë brenda shtëpisë, shto një kërcim. Tani router-i sheh trafikun që vjen nga ajo makinë, kështu që rregullat e tij zbatohen për adresën e serverit dhe jo për adresën e tunelit të telefonit, dhe përkthimi i burimit mund ta bëjë çdo telefon të duket si një host i vetëm.

Dëgjuesi nuk është filtri

Vendos ku ndodh zbatimi ndërsa informacioni që të duhet ekziston ende. Në router, adresa e tunelit të telefonit është e dukshme dhe mund të përputhet drejtpërdrejt. Pas një përkthimi të dytë ajo ka ikur, dhe rregullat e shkruara për adresën e telefonit heshtazi nuk përputhen me asgjë.

Kjo është arsyeja e zakonshme pse një politikë funksionon për laptopin dhe jo për telefonin. Laptopi lidhet drejtpërdrejt me router-in, telefoni lidhet me një server që përcjell përmes router-it, dhe vetëm rruga e parë ruan adresën që pret rregulli. Rregulli nuk është i gabuar; po përputh një vlerë që nuk ekziston më në atë pikë.

Shkruaje rrugën me adresën e burimit siç shfaqet në çdo pikë zbatimi. Ai diagram i vetëm zgjidh shumicën e këtyre rasteve përpara se të redaktohet ndonjë rregull.

Çfarë duhet të dërgojë telefoni në të vërtetë

Një telefon që merr vetëm një rrugë drejt nënrrjetit të shtëpisë dërgon në tunel vetëm trafikun e atij nënrrjeti. Gjithçka tjetër del përmes rrjetit celular, prandaj ndarja e skedarëve funksionon dhe kërkesat e internetit nuk arrijnë kurrë në shtëpi.

Mbulimi i plotë me tunel është një vendim rrugëtimi nga ana e klientit, dhe duhet vendosur me mekanizmin që platforma mbështet, jo supozuar nga profili që instalohet. Pasi vendoset, rruga kthim te vetë serveri VPN duhet të mbetet jashtë tunelit, përndryshe klienti nuk mund të mbajë transportin e vet.

DNS meriton një vendim të vetin, sepse është pjesa që ka më shumë gjasa të devijojë nga pjesa tjetër e trafikut. Adresa e resolver-it në profil është një sugjerim që klientët e trajtojnë ndryshe, dhe një aplikacion me resolver të vetëm të kriptuar mund të marrë një rrugë krejt të veçantë. Nëse politika e shtëpisë varet nga arritja e pyetjeve në një resolver të caktuar, zbatoje aty ku trafiku kalon vërtet, ose prano se disa pyetje nuk do ta bëjnë. Një pyetje që anashkalon resolver-in tënd nuk arrin kurrë në një rregull të shkruar për të.

IPv6 i përket të njëjtit paragraf si DNS, jo një shtojce. Një tunel i plotë IPv4 nuk thotë asgjë për trafikun AAAA, dhe një telefon në një rrjet celular me dy shtresa do të përdorë me kënaqësi rrugën amtare për të. Zgjidh transportin ose bllokimin në mënyrë të qartë.

Çfarë mund dhe çfarë nuk mund të shohë firewall-i

Porta mund të veprojë mbi atë që zbulon pika e saj e zbatimit: adresa, porta, protokoll, ndërfaqe dhe metadata e lidhjes. Një kërkesë HTTPS e përcjellë nuk dorëzon trupin e faqes ose fjalëkalimin vetëm sepse kalon tunelin e shtëpisë.

Vlen ta thuash këtë kufi, sepse shprehja «kaloje përmes firewall-it» nënkupton më shumë inspektim se sa bën një router shtëpiak. Një rregull destinacioni, një politikë DNS dhe një proxy në shtresën e aplikacionit janë tre kontrolle të ndryshme me tre kosto të ndryshme vendosjeje.

Mos supozo se një funksion i konfiguruar për klientët e LAN-it të shtëpisë vlen edhe për ndërfaqen VPN. Anëtarësimi në zonë është zgjedhje konfigurimi, dhe një ndërfaqe VPN që nuk është në zonën e duhur nuk trashëgon asnjë nga rregullat që testove nga divani.

Vendos gjendjen e shkëputur

Kur tuneli nuk është i disponueshëm, telefoni ose kthehet në rrjetin celular ose refuzon të dërgojë trafikun. Të dyja janë të arsyeshme, dhe vetëm njëra përputhet me atë që shumica beson se ka konfiguruar.

Kthimi është i përshtatshëm dhe rrjedh sipas përkufizimit: momenti kur bie tuneli është momenti kur kërkesat dalin në rrugën e operatorit. Bllokimi është më i fortë dhe e bën telefonin të varur nga arritja e shtëpisë, që është një kosto reale disponueshmërie për këdo që udhëton. Asnjëra sjellje nuk është defekt; të dyja janë produkte, dhe ti zgjedh mes tyre, e thua apo jo.

Testo zgjedhjen në vend që ta supozosh. Ndal shërbimin e shtëpisë, pastaj provo një kërkesë nga shfletuesi i telefonit dhe një nga një aplikacion që punon në sfond. Rilidhja më vonë nuk i anulon kërkesat që kanë dalë tashmë.

Përfundo me dy kontrolle të kontrolluara nga vetë telefoni: një operacion i lejuar që duhet të kalojë nëpër shtëpi, dhe një refuzim që politika e shtëpisë duhet të zbatojë. Konfirmo se porta regjistroi rrjedhën që prisje, në familjen e adresave që prisje, pas një rilidhjeje. Një telefon që shfaq «I lidhur» është fillimi i atij verifikimi, kurrë fundi.