Rregullat e VPN në router: përputh burimin dhe destinacionin
Një rregull VPN në router ka dy skaje: pajisjen që dërgon trafikun dhe destinacionin që duhet të përdorë tunelin. Vendosni fillimisht kryqëzimin dhe sjelljen rezervë.
Faqet e blerjes së router-ave e paraqesin ushtrimin e VPN-së si një kuti të vetme, dhe kjo frazë fsheh tri pyetje të ndryshme. A përputhet rregulli me pajisjen që dërgon trafikun, me serverin që e merr, apo me të dyja? Çfarë ndodh me trafikun që nuk përputhet me asnjërën? Dhe kur dy rregulla mbivendosen, cili fiton? Të shkruarit e përgjigjes si çift burimi dhe destinacioni e kthen një listë të paqartë funksionesh në një dizajn të testueshëm.
Emri i funksionit fsheh dy skaje
Një luajtës mediash që duhet të përdorë tunelin është përputhje burimi. Një prefiks zyre privat që duhet të jetë i arritshëm përmes tunelit është përputhje destinacioni. Një stacion pune që duhet ta përdorë tunelin vetëm për një shërbim është të dyja, dhe ai kryqëzim është rasti që shumica e firmware-it të konsumatorit e trajton keq.
Shkruaje kërkesën si çift përpara se të krahasoni produkte. Ai çift është ajo që do të testoni më vonë.
Një produkt që ofron listë pajisjesh ose listë globale destinacionesh mund të mos shprehë «vetëm kjo pajisje, vetëm këto destinacione». Diferenca nuk është kozmetike: një rregull global destinacioni e dërgon trafikun e çdo pajisjeje drejt atij sajti përmes tunelit, dhe një rregull pajisjeje dërgon të gjithë trafikun e asaj pajisjeje. Asnjëra nuk është kërkesa. Testojeni atë rast me dy pajisje përpara se t’i besoni ekranit.
Ndërtoje rregullin si kryqëzim
Një tabelë e mban dizajnin të ndershëm. Vendos skenarin majtas, pastaj emërto veçmas përputhjen e dërguesit dhe përputhjen e objektivit:
| Scenario | Sender match | Target match | Rule shape |
|---|---|---|---|
| Media player uses the tunnel | Player address | Any internet destination except the LAN | Source only |
| Office prefix reachable | Authorized LAN devices | 10.40.0.0/16 | Target only |
| One app on one laptop | Laptop address | The service address set | Source and target |
| Guest network never tunnels | Guest subnet | Any | Deny, evaluated first |
Rreshti i tretë është ai interesanti, sepse i nevojiten të dyja gjysmat njëherësh. Nëse firmware-i mund të shprehë vetëm një aks, kërkesa duhet të ndahet në dy rregulla ose të zhvendoset në një pajisje që e bën këtë.
Mbaje identitetin e burimit të qëndrueshëm. Një rezervim DHCP, një segment i dedikuar ose një mekanizëm identiteti pajisjeje funksionojnë, por një adresë që ndryshon pas skadimit të qirasë nuk funksionon. Përfshij IPv6, sepse një adresë IPv4 nuk identifikon të gjithë trafikun e një pajisjeje.
Përparësia vendos mbivendosjen
Mbivendosja e rregullave është normale. Një rregull i gjerë pajisjeje dhe një rregull i ngushtë destinacioni mund të përshkruajnë të njëjtin fluks, dhe rendi i përparësisë i dokumentuar vendos cili fiton. Një ekran cilësimesh tërheqës nuk ta thotë atë rend.
Lexo manualin për rendin dhe për rastin pa përputhje, pastaj testoji të dyja me trafik që mund ta vëzhgosh:
ip rule show
ip route get 203.0.113.10Nëse dokumentacioni nuk e jep rendin, supozo se rregulli më i ngushtë mund të mos fitojë dhe dizajno duke e pasur parasysh. Dy rregulla që nuk mund të bien në konflikt janë më të lehta për t’u mbështetur sesa një rregull i zgjuar me përparësi të padokumentuar.
Emrat kanë nevojë për një politikë rifreskimi
Një destinacion i shkruar si domen shton një problem mirëmbajtjeje. Router-i duhet ta zgjidhë, ta rifreskojë hartëzimin, të trajtojë disa adresa dhe nëndome, dhe të përballet me DNS-in e aplikacioneve që anashkalon zgjidhësin e pritur.
Kopjimi i një rezultati kërkimi në një rregull IP është një fotografi, jo një politikë domeni.
Vendos sa i vjetër mund të jetë një përgjigje përpara se rregulli të jetë i gabuar, dhe çfarë bën router-i kur zgjidhja dështon. Një rregull që mban adresën e fundit të njohur mund t’i mbijetojë një migrimi shërbimi; një rregull që e hedh poshtë hyrjen mund të ndalojë në heshtje tunelizimin. Të dyja sjelljet janë të pranueshme nëse shkruhen pranë rregullit.
Përcakto gjendjen e padisponueshme
Një preferencë rruge nuk imponon trafik vetëm përmes VPN-së. Kur tuneli është jashtë funksionit, router-i mund të bllokojë fluksin, ta dërgojë direkt ose të përdorë një tunel tjetër, dhe çdo zgjedhje ka një nënshkrim tjetër dështimi.
Vendos cili i nevojitet kërkesës, pastaj verifikoje duke ndaluar tunelin dhe duke vëzhguar fluksin:
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10Trafiku që buron nga vetë router-i është një fushë e veçantë. Përcjellja e DNS-së, kontrollet e përditësimit dhe monitorimi mund të nisin flukse të reja nga vetë router-i në vend që të trashëgojnë përputhjen e burimit të pajisjes. Merr parasysh shprehimisht ato flukse, përndryshe do të shfaqen si rrjedhje të pashpjeguara në regjistra.