VPN са телефона до куће: учините заштитни зид својим интернет излазом

Повезивање телефона на кућни тунел и отварање LAN дељења датотека доказује да тунел ради. То не доказује да интернет захтеви телефона излазе кроз кућу. Разлика између ова два исхода је политика прослеђивања плус рута, а не још једно поље за потврду на телефону. То је и разлика за коју већина људи претпоставља да ју је већ конфигурисала.

Три одлуке стварају излазну путању: шта телефон шаље у тунел, куда кућни гејтвеј то прослеђује и шта се дешава када тунела нема. Свака има режим отказа који са екрана телефона изгледа као остале.

Два скока, две политике

Спољна веза се завршава на кућном VPN слушаоцу. Унутрашњи пакет је засебан објекат који се мора негде проследити, а прослеђивање је другачија firewall одлука од прихватања тунела на почетку.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

На типичном кућном рутеру ово живи у различитим скуповима правила. Прихватање тунела је улазна политика на VPN интерфејсу; слање саобраћаја телефона на интернет је политика прослеђивања плус превођење извора које је потребно uplink-у. Рутер који прихвати тунел и ништа не проследи даје телефон који показује повезано и не учитава ниједну страницу.

Ако VPN услуга ради на засебној машини унутар куће, додајте скок. Рутер сада види саобраћај који долази са те машине, па његова правила важе за адресу сервера, а не за тунелску адресу телефона, и превођење извора може учинити да сваки телефон изгледа као један хост.

Слушалац није филтер

Одлучите где се спровођење дешава док информација која вам је потребна још постоји. На рутеру је тунелска адреса телефона видљива и може се директно упоредити. Иза другог превођења је нема, а правила написана за адресу телефона тихо не одговарају ничему.

То је уобичајен разлог зашто политика ради за лаптоп, а не за телефон. Лаптоп се повезује директно на рутер, телефон се повезује на сервер који прослеђује кроз рутер, и само прва путања чува адресу коју правило очекује. Правило није погрешно; оно упоређује вредност која на том месту више не постоји.

Запишите путању са изворном адресом како се појављује у свакој тачки спровођења. Тај један дијаграм решава већину ових случајева пре него што се уреди било које правило.

Шта телефон заиста мора да пошаље

Телефон који добије само руту до кућне подмреже шаље у тунел само саобраћај те подмреже. Све остало излази преко мобилне мреже, зато дељење датотека ради, а интернет захтеви никада не стижу до куће.

Покривеност пуним тунелом је одлука о рутирању на страни клијента и мора се поставити механизмом који платформа подржава, а не претпоставити из профила који се инсталира. Када се постави, путања назад ка самом VPN серверу мора остати изван тунела, иначе клијент не може да одржава сопствени транспорт.

DNS заслужује сопствену одлуку јер је то део који највероватније одступа од остатка саобраћаја. Адреса резолвера у профилу је предлог који клијенти обрађују различито, а апликација са сопственим шифрованим резолвером може ићи потпуно одвојеном путањом. Ако кућна политика зависи од тога да захтеви стигну до одређеног резолвера, спроводите је тамо где саобраћај заиста пролази, или прихватите да неки захтеви то неће учинити. Захтев који заобиђе ваш резолвер никада не стиже до правила написаног за њега.

IPv6 припада истом пасусу као DNS, а не додатку. Пун IPv4 тунел не говори ништа о AAAA саобраћају, а телефон на мобилној мрежи са двоструким стеком радо ће за то користити изворну путању. Изаберите пренос или блокирање експлицитно.

Шта firewall може, а шта не може да види

Гејтвеј може да делује на оно што његова тачка спровођења открива: адресе, портове, протокол, интерфејс и метаподатке везе. Прослеђен HTTPS захтев не предаје тело странице или лозинку само зато што пролази кроз кућни тунел.

Ову границу вреди изговорити, јер фраза „пропустите то кроз firewall“ подразумева више провере него што кућни рутер обавља. Правило одредишта, DNS политика и прокси на апликационом слоју су три различите контроле са три различита трошка увођења.

Не претпостављајте да функција конфигурисана за клијенте кућне LAN мреже важи и за VPN интерфејс. Чланство у зони је избор конфигурације, а VPN интерфејс који није у правој зони не наслеђује ниједно од правила која сте тестирали са кауча.

Одлучите о искљученом стању

Када тунел није доступан, телефон се или враћа на мобилну мрежу или одбија да пошаље саобраћај. Оба су разумна, а само једно од њих одговара ономе што већина верује да је конфигурисала.

Повратак је згодан и по дефиницији цури: тренутак када тунел падне је тренутак када захтеви излазе путем оператера. Блокирање је јаче и чини телефон зависним од тога да је кућа доступна, што је стварни трошак доступности за некога на путу. Ниједно понашање није грешка; оба су производи, и бирате између њих, рекли то или не.

Тестирајте избор уместо да га претпостављате. Зауставите кућну услугу, па пробајте један захтев из прегледача телефона и један из апликације која ради у позадини. Касније поновно повезивање не поништава захтеве који су већ отишли.

Завршите са две контролисане провере са самог телефона: једна дозвољена операција која треба да прође кроз кућу и једно одбијање које кућна политика треба да спроведе. Потврдите да је гејтвеј забележио очекивани ток у очекиваном породици адреса, после поновног повезивања. Телефон који показује „Повезано“ је почетак те провере, никада крај.