Задржите приватне руте и одбаците преусмеравање: подељени OpenVPN тунел
Тунел само за приватне мреже захтева два правила: приватни префикси пролазе кроз њега, обично прегледање задржава своју локалну путању. Брисање подразумеване руте није политика.
Тунел се подиже, апликација се учитава, а затим све остало на лаптопу почиње да се понаша чудно. То је уобичајен облик политике само за приватне мреже, спроведене брисањем једне линије. Уклањање гурнуте подразумеване руте заиста мења куда саобраћај иде, али не каже куда саобраћај треба да иде уместо тога, и уопште не дира разрешавање имена. Политика захтева две позитивне половине пре него што може да се тестира.
Брисање преусмеравања је само половина промене
Преусмеравање целог тунела и политика само за приватне мреже разликују се по томе шта тврде о свету. Преусмеравање полаже право на свако одредиште, док приватна политика полаже право на списак и остатак оставља на миру. Брисање тврдње без писања списка ствара клијента који не стиже нигде изван локалне мреже, што изгледа као отказ рутирања, а не као празнина у политици. Напишите списак пре него што уклоните тврдњу, и тада редослед та два корака престаје да буде важан.
Обе половине су захтеви, а не подразумеване вредности. Приватни префикси морају да уђу у тунел, а обична одредишта морају да задрже путању коју су имала пре везе.
Ако организација прописује пуни тунел, ништа од овога не важи. Дизајн само за приватне мреже припада распоређивањима у којима је подељено рутирање одобрено.
pull-filter је подударање, а не прекидач
Директива pull-filter уклања гурнуте опције чија имена одговарају префиксу, и то је све што чини. Занемаривање преусмеравања оставља сваку другу гурнуту опцију на месту, што је обично оно што желите: руте, DNS поставке и вредност мрежног пролаза руте ипак стижу. Она такође не може да уклони директиву написану у локалном профилу, јер филтрирање важи за оно што сервер гура.
Одуприте се искушењу да занемарите сваку опцију која почиње са route. Тај образац такође одбацује приватне руте које су вези потребне, и може да испусти информације о мрежном пролазу од којих тунел зависи.
route-nopull је шира одлука него што изгледа. Она спречава клијента да прихвати гурнуте руте и опције у стилу DHCP као групу, што је другачија политика од филтрирања једне опције.
Напишите списак рута од апликације ка споља
Почните од онога што корисник заиста отвара, па додајте пратеће делове. Апликација на 10.60.20.15 подразумева своју подмрежу 10.60.0.0/16, а приватно име подразумева разрешивач који на њега одговара. Зато кориснику који је затражио једну апликацију требају два одредишта и једна DNS одлука. Све изван тог списка је по конструкцији ван обима, и то је оно што политику чини прегледном.
На серверу који сарађује то постају две гурнуте руте, и ниједна од њих није преусмеравање. Задржите топологију тунела и вредности мрежног пролаза руте које постојећа услуга пружа.
Када ова политика треба само неким корисницима, примените је по клијенту или по групи. Мењање рутирања свима да би се исправио захтев једног тима јесте начин на који подељени тунел постаје прекид.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
Нека DNS следи исти пут
Рута до разрешивача није политика разрешивача. На клијенту systemd-resolved семантички резултат је домен рутирања за приватни именски простор који показује на унутрашњи разрешивач, и то је оно што чини да га користе само та имена. Клијенту Windows-а треба уместо тога сопствени механизам политике именских простора. Линија DNS сервера у профилу не инсталира ни једно од тога сама по себи.
Проверите шта је оперативни систем изабрао, а не шта је профил затражио. На Linux-у resolvectl status приказује домен и сервер по вези; на Windows-у је табела политике именских простора еквивалентан доказ.
Држите разрешивач доступним кроз тунел, иначе политика показује на адресу која се не може упитати. Адреса разрешивача до које тунел не стиже претвара радну политику у истек времена.
Проверите обе половине при поновном повезивању
Поново повежите клијента након промене и прегледајте ефективну руту до приватне и до јавне адресе. Затим разрешите приватно име и јавно име и потврдите да је свако користило предвиђени разрешивач. Учитавање јавног сајта доказује само другу половину, а управо та половина обично ради случајно.
Забележите готову политику у једној реченици: ови префикси и имена користе ову везу, све остало следи локалну путању. Затим је држите у профилу, уместо да поправљате поставке адаптера после сваке пријаве.