Subneti ya chini dhidi ya VPN ya dawati: tenga usafiri, sio programu

Mashine moja, kazi mbili, firewall moja: kiungo cha Wi-Fi kuelekea juu, subneti ndogo ya Ethernet nyuma yake, na mteja wa VPN wa dawati anayedhani kila kitu kinachotoka kwenye mashine ni cha ndani. Programu zilizoanzishwa ndani hutoka kupitia njia ya matokeo ya ndani. Vifaa vilivyo nyuma ya kituo cha kazi hufika kwenye lango la Ethernet na vinahitaji uamuzi wa kusambaza. Kutengwa kulikoandikwa kwa njia ya kwanza hakuioni ya pili kamwe, na ndiyo sababu kivinjari hukwepa handaki wakati vifaa havikwepi.

Njia mbili za pakiti, sera moja

Mstari wa kwanza ni kile ambacho miongozo mingi ya split-tunneling inaeleza. Ya pili ni usanidi wa kipanga njia ambao kwa bahati huishi kwenye mashine hiyo hiyo. Kuyeyusha yote katika mfano mmoja wa akili ni kosa; wanashirikiana kernel, sio sera. Chora njia zote mbili kabla ya kuhariri sheria yoyote, na muundo uliobaki unafuata kutoka kwa njia ipi inayokosekana.

Jedwali pia linaeleza kwa nini mashine moja inaweza kufaulu jaribio moja na kushindwa lingine. Kivinjari kwenye kituo cha kazi kinathibitisha njia ya ndani; kompyuta mpakato iliyochomekwa kwenye lango la Ethernet inathibitisha njia ya kusambaza. Thibitisha kila mabadiliko kwa zote mbili, vinginevyo ya pili itabaki bila kujaribiwa bila kujali kivinjari kimepakia upya mara ngapi.

Kutengwa kwa programu kunainisha nini hasa

Kutengwa kwa kila programu kawaida hufanya kazi kwa kuweka alama kwenye pakiti kutoka kwa mchakato au mtumiaji, kisha kuelekeza trafiki iliyowekwa alama nje ya handaki. Hiyo ni muundo wa matokeo ya ndani. Pakiti kutoka kwa kifaa cha chini haina mchakato wa ndani, kwa hivyo haiendani kamwe na kichaguzi, chochote kichaguzi hicho.

Chochote kichaguzi hicho, orodha mbili sio orodha moja, na ndiyo hoja nzima. Mwongozo wa Mullvad wa Linux unaeleza alama zinazotumiwa na firewall yake na sera yake ya uelekezaji, na mifano yake inalenga matokeo ya ndani; sio maelezo yanayoungwa mkono ya kipanga njia cha chini. Kuzinakili hutoa mashine inayodhani ina kutengwa huku ikisambaza kila kitu ndani ya handaki.

Andika mkataba wa usafiri

Taja pamoja kiambishi cha chanzo cha chini na kiolesura cha kuingia, kisha weka kikomo kiambishi hicho kwenye kuingia. Bila kikomo, kifaa chochote kinachofikia lango kinaweza kudai anwani iliyotengwa na kutoka kupitia upitishaji. Ichukulie kama maswali mawili: je, wenyeji hawa wanaweza kutumia kiungo hiki kabisa, na je, wanaweza kufikia kituo cha kazi au safu za kibinafsi za handaki? Hizi ni ruhusa za ziada, sio athari za pembeni za uchaguzi wa kiungo.

Ruhusu kusambaza, kisha chuja. Lango la Linux linahitaji kusambaza kukiwa kumewezeshwa, sheria zinazoruhusu trafiki inayokusudiwa katika pande zote mbili, na ama njia ya kurudi juu au tafsiri ya chanzo iliyowekewa kikomo kwa makusudi. NAT peke yake haichagui kiungo cha juu na haitoi njia kupitia kichujio; inaandika upya anwani tu baada ya maamuzi hayo.

Uainishaji wa usafiri lazima utokee kabla ya uamuzi wa njia ya kusambaza, ambayo inamaanisha hatua ya prerouting na sio output. Sheria iliyowekwa baada ya uamuzi inaweza bado kubadilisha pakiti, lakini haiwezi kubadilisha mahali pakiti ilikotumwa tayari.

Alama ni mali ya programu inayozimiliki

Thamani za alama, nambari za jedwali na vipaumbele vya mnyororo ni sehemu ya sera ya programu ya VPN, sio vibadala vya milele. Mtandao wa kudumu unaotegemea kuingiza sheria kwenye jedwali ambalo programu nyingine huizalisha upya utavunjika kwenye sasisho lijalo, kwa kawaida wakati wa kuunganisha upya na sio wakati unaofaa.

Kuongeza mnyororo wa pili wa msingi wenye hukumu ya accept hakushindi kwa lazima drop ya mnyororo wa baadaye. Minyororo ya msingi ina kulabu na vipaumbele, na hukumu ya kwanza katika mpangilio ndiyo hushinda; accept katika mnyororo mmoja haifuti drop ambayo mnyororo mwingine huifikia kwanza. Angalia seti kamili ya sheria na mpangilio wa sera ya uelekezaji, sio kihesabu kimoja kilichoongezeka. Kihesabu kinathibitisha sheria ilifanya kazi, kamwe hakithibitishi kuwa hukumu yake ndiyo iliyotumika.

Unganisha, au hamisha subneti

Miundo miwili inatofautiana kwa nani anamiliki upitishaji. Muundo uliounganishwa unabakiza mashine moja na sera moja, kwa gharama ya kutegemea mzunguko wa maisha wa majedwali ya programu ya VPN na seti ya alama ambazo nyaraka zake zinaweza kubadilisha. Kipanga njia maalum kwa mtandao wa chini huondoa utegemezi huo kabisa: subneti ina kiungo chake cha juu, na kituo cha kazi kinabaki mteja asiye na jukumu la kusambaza.

Chagua ya pili wakati mtandao wa chini unapaswa kuendelea kufanya kazi kupitia sasisho za VPN, au wakati hakuna anayeweza kujaribu sera iliyounganishwa baada ya kila toleo. Chagua ya kwanza tu wakati muunganisho umeandikwa na mtu anausimamia.

Thibitisha mpaka katika hali nne: imeunganishwa, inaunganisha upya, imezuiwa kwa makusudi na imesimamishwa. Kagua utatuzi wa majina na familia zote mbili za anwani katika kila moja, kwa sababu upitishaji unaovujisha DNS sio kutengwa ulikounda. Jaribio linapaswa kuthibitisha mpaka sahihi, sio tu kwamba ukurasa mmoja ulipakiwa.