கீழ்நிலை துணை வலையமைப்பு vs டெஸ்க்டாப் VPN: இடைநிலைப் போக்குவரத்தை விலக்கு, செயலிகளை அல்ல
ஒவ்வொரு செயலிக்கான தவிர்ப்பு உள்ளூர் வெளியீட்டை மட்டுமே வகைப்படுத்துகிறது. பணிநிலையத்தின் பின்னால் உள்ள சாதனங்களுக்கு அவற்றின் சொந்த நுழைவு, அனுப்பல் மற்றும் திரும்பும் பாதைக் கொள்கை தேவை.
ஒரு இயந்திரம், இரண்டு வேலைகள், ஒரு ஃபயர்வால்: ஒரு Wi-Fi மேல்நோக்கு இணைப்பு, அதற்குப் பின்னால் சிறிய Ethernet துணை வலையமைப்பு, மற்றும் இயந்திரத்திலிருந்து வெளியேறும் அனைத்தும் உள்ளூர் எனக் கருதும் டெஸ்க்டாப் VPN கிளையண்ட். உள்ளூரில் தொடங்கப்பட்ட செயலிகள் உள்ளூர் வெளியீட்டுப் பாதை வழியாக வெளியேறுகின்றன. பணிநிலையத்தின் பின்னால் உள்ள சாதனங்கள் Ethernet துறைமுகத்திற்கு வந்து அனுப்பல் முடிவு தேவைப்படுகிறது. முதல் பாதைக்கு எழுதப்பட்ட தவிர்ப்பு இரண்டாவதை ஒருபோதும் பார்ப்பதில்லை, அதனால்தான் உலாவி சுரங்கப்பாதையைத் தவிர்க்கிறது, சாதனங்கள் தவிர்க்கவில்லை.
இரண்டு பாக்கெட் பாதைகள், ஒரு கொள்கை
| Origin | Path | Decision owner |
|---|---|---|
| Application on the workstation | OUTPUT then egress | The VPN app's routing policy |
| Device behind the workstation | PREROUTING then FORWARD | The workstation's own forwarding policy |
முதல் வரிசை பெரும்பாலான split-tunneling வழிகாட்டிகள் விவரிப்பதாகும். இரண்டாவது அதே இயந்திரத்தில் தற்செயலாக வாழும் ரவுட்டர் உள்ளமைவு. இரண்டையும் ஒரே மன மாதிரியில் கரைப்பதே தவறு; அவை கர்னலைப் பகிர்கின்றன, கொள்கையை அல்ல. எந்த விதியையும் திருத்துவதற்கு முன் இரண்டு பாதைகளையும் வரையுங்கள், மீதமுள்ள வடிவமைப்பு எந்தப் பாதை இல்லை என்பதிலிருந்து வரும்.
ஒரு இயந்திரம் ஒரு சோதனையில் தேர்ச்சி பெற்று மற்றொன்றில் தோல்வியடைவது ஏன் என்பதையும் அட்டவணை விளக்குகிறது. பணிநிலையத்தின் உலாவி உள்ளூர் பாதையை நிரூபிக்கிறது; Ethernet துறைமுகத்தில் இணைக்கப்பட்ட மடிக்கணினி அனுப்பல் பாதையை நிரூபிக்கிறது. ஒவ்வொரு மாற்றத்தையும் இரண்டிலும் சரிபார்க்கவும், இல்லையெனில் உலாவி எத்தனை முறை புதுப்பிக்கப்பட்டாலும் இரண்டாவது சோதிக்கப்படாமல் இருக்கும்.
செயலி தவிர்ப்பு உண்மையில் எதை வகைப்படுத்துகிறது
ஒவ்வொரு செயலிக்கான தவிர்ப்பு பொதுவாக இவ்வாறு செயல்படுகிறது: ஒரு செயல்முறை அல்லது பயனரின் பாக்கெட்டுகளைக் குறிக்கிறது, பின்னர் குறிக்கப்பட்ட போக்குவரத்தை சுரங்கப்பாதைக்கு வெளியே வழிமாற்றுகிறது. இது உள்ளூர்-வெளியீட்டு அமைப்பு. கீழ்நிலை சாதனத்தின் பாக்கெட்டுக்கு உள்ளூர் செயல்முறை இல்லை, எனவே அது தேர்வியுடன் ஒருபோதும் பொருந்தாது, தேர்வி எதுவாக இருந்தாலும்.
தேர்வி எதுவாக இருந்தாலும், இரண்டு பட்டியல்களும் ஒரே பட்டியல் அல்ல, அதுவே முக்கிய விஷயம். Mullvad இன் Linux வழிகாட்டி அதன் ஃபயர்வால் மற்றும் வழிமாற்றுக் கொள்கை பயன்படுத்தும் குறிகளை விவரிக்கிறது, அதன் எடுத்துக்காட்டுகள் உள்ளூர் வெளியீட்டை இலக்காகக் கொள்கின்றன; அவை கீழ்நிலை ரவுட்டரின் ஆதரவு விவரணம் அல்ல. அவற்றை நகலெடுத்தால் எல்லாவற்றையும் சுரங்கப்பாதைக்கு அனுப்பிக்கொண்டே தனக்கு தவிர்ப்பு உள்ளதாக நம்பும் இயந்திரம் கிடைக்கும்.
இடைநிலைப் போக்குவரத்து ஒப்பந்தத்தை எழுதுங்கள்
கீழ்நிலை மூல முன்னொட்டு மற்றும் நுழைவு இடைமுகத்தை ஒன்றாகப் பெயரிடுங்கள், பின்னர் அந்த முன்னொட்டை நுழைவில் வரம்பிடுங்கள். வரம்பு இல்லாமல், துறைமுகத்தை அடையும் எந்தச் சாதனமும் தவிர்க்கப்பட்ட முகவரியைக் கோரி தவிர்ப்பு வழியாக வெளியேறலாம். இதை இரண்டு கேள்விகளாகக் கருதுங்கள்: இந்த புரவலர்கள் இந்த மேல்நோக்கு இணைப்பைப் பயன்படுத்தலாமா, மேலும் அவை பணிநிலையத்தையோ சுரங்கப்பாதையின் தனிப்பட்ட வரம்புகளையோ அடையலாமா? இவை கூடுதல் அனுமதிகள், இணைப்புத் தேர்வின் பக்க விளைவுகள் அல்ல.
அனுப்பலை அனுமதியுங்கள், பின்னர் அதை வடிகட்டுங்கள். Linux நுழைவாயிலுக்கு அனுப்பல் இயக்கப்பட்டிருக்க வேண்டும், இரு திசைகளிலும் உத்தேசித்த போக்குவரத்தை அனுமதிக்கும் விதிகள், மேலும் மேல்நோக்கு திரும்பும் பாதை அல்லது வேண்டுமென்றே வரம்பிடப்பட்ட மூல மொழிபெயர்ப்பு தேவை. NAT மட்டும் மேல்நோக்கு இணைப்பைத் தேர்ந்தெடுக்காது, வடிகட்டி வழியாகச் செல்லவும் அனுமதிக்காது; அது அந்த முடிவுகளுக்குப் பிறகு முகவரியை மட்டும் மீண்டும் எழுதுகிறது.
இடைநிலைப் போக்குவரத்துக்கான வகைப்படுத்தல் அனுப்பல் பாதை முடிவுக்கு முன் நிகழ வேண்டும், அதாவது output அல்ல, prerouting நிலையில். முடிவுக்குப் பிறகு வைக்கப்படும் விதி பாக்கெட்டை மாற்றலாம், ஆனால் ஏற்கனவே எங்கு அனுப்பப்பட்டது என்பதை மாற்ற முடியாது.
குறிகள் அவற்றைக் கொண்டிருக்கும் செயலிக்கே சொந்தம்
குறி மதிப்புகள், அட்டவணை எண்கள் மற்றும் சங்கிலி முன்னுரிமைகள் VPN செயலியின் கொள்கையின் பகுதி, நித்திய மாறிலிகள் அல்ல. மற்றொரு நிரல் மீண்டும் உருவாக்கும் அட்டவணையில் விதியைச் செருகுவதை நம்பியிருக்கும் வலையமைப்பு அடுத்த புதுப்பிப்பில் உடையும், பொதுவாக மீண்டும் இணைக்கும் போது, வசதியான நேரத்தில் அல்ல.
accept தீர்ப்புடன் இரண்டாவது அடிப்படைச் சங்கிலியைச் சேர்ப்பது பின்னர் வரும் சங்கிலியின் drop ஐ அவசியமாக மிஞ்சாது. அடிப்படைச் சங்கிலிகளுக்குக் கொக்கிகள் மற்றும் முன்னுரிமைகள் உண்டு, வரிசையில் முதல் தீர்ப்பே வெல்லும்; ஒரு சங்கிலியின் accept மற்றொரு சங்கிலி முதலில் அடையும் drop ஐ ரத்து செய்யாது. அதிகரித்த ஒரு கவுண்ட்டரை அல்ல, முழு விதித் தொகுப்பையும் வழிமாற்றுக் கொள்கையின் வரிசையையும் பாருங்கள். கவுண்ட்டர் ஒரு விதி இயங்கியதை நிரூபிக்கிறது, அதன் தீர்ப்பே பயன்படுத்தப்பட்டது என்பதை ஒருபோதும் நிரூபிக்காது.
ஒருங்கிணைக்கவும், அல்லது துணை வலையமைப்பை நகர்த்தவும்
இரண்டு வடிவமைப்புகளும் தவிர்ப்பின் உரிமை யாரிடம் உள்ளது என்பதில் வேறுபடுகின்றன. ஒருங்கிணைந்த வடிவமைப்பு ஒரு இயந்திரத்தையும் ஒரு கொள்கையையும் வைத்திருக்கிறது, ஆனால் VPN செயலியின் அட்டவணை வாழ்க்கைச் சுழற்சி மற்றும் அதன் ஆவணங்கள் மாற்றக்கூடிய குறிகளின் தொகுப்பு மீதான சார்பின் விலையில். கீழ்நிலை வலையமைப்புக்கான தனி ரவுட்டர் அந்தச் சார்பை முழுவதுமாக நீக்குகிறது: துணை வலையமைப்புக்கு அதன் சொந்த மேல்நோக்கு இணைப்பு உள்ளது, பணிநிலையம் அனுப்பல் பங்கு இல்லாத கிளையண்டாகவே இருக்கிறது.
கீழ்நிலை வலையமைப்பு VPN புதுப்பிப்புகளுக்கிடையேயும் செயல்பட வேண்டும் என்றால், அல்லது ஒவ்வொரு வெளியீட்டுக்குப் பிறகும் ஒருங்கிணைந்த கொள்கையை யாரும் சோதிக்க முடியாவிட்டால் இரண்டாவதைத் தேர்ந்தெடுங்கள். ஒருங்கிணைப்பு ஆவணப்படுத்தப்பட்டு யாரோ பொறுப்பேற்றால் மட்டுமே முதல் ஒன்றைத் தேர்ந்தெடுங்கள்.
நான்கு நிலைகளில் எல்லையைச் சரிபார்க்கவும்: இணைக்கப்பட்டது, மீண்டும் இணைக்கிறது, வேண்டுமென்றே தடுக்கப்பட்டது மற்றும் நிறுத்தப்பட்டது. ஒவ்வொன்றிலும் பெயர்த் தீர்வு மற்றும் இரு முகவரிக் குடும்பங்களையும் சரிபார்க்கவும், ஏனெனில் DNS கசியும் தவிர்ப்பு நீங்கள் வடிவமைத்த தவிர்ப்பு அல்ல. சோதனை துல்லியமான எல்லையை நிரூபிக்க வேண்டும், ஒரு பக்கம் ஏற்றப்பட்டது மட்டும் அல்ல.