దిగువ సబ్‌నెట్ మరియు డెస్క్‌టాప్ VPN: ట్రాన్జిట్‌ను మినహాయించండి, యాప్‌లను కాదు
ప్రతి-యాప్ బైపాస్ స్థానిక అవుట్‌పుట్‌ను మాత్రమే వర్గీకరిస్తుంది. వర్క్‌స్టేషన్ వెనుక ఉన్న పరికరాలకు వాటి స్వంత ఇన్‌గ్రెస్, ఫార్వార్డింగ్ మరియు తిరుగు మార్గ విధానం అవసరం.
ఒక యంత్రం, రెండు పనులు, ఒక ఫైర్‌వాల్: ఒక Wi-Fi పైలింక్, దాని వెనుక చిన్న Ethernet సబ్‌నెట్, మరియు యంత్రం నుండి బయటకు వెళ్లేదంతా స్థానికమని ఊహించే డెస్క్‌టాప్ VPN క్లయింట్. స్థానికంగా ప్రారంభించిన యాప్‌లు స్థానిక అవుట్‌పుట్ మార్గం ద్వారా బయటకు వెళ్తాయి. వర్క్‌స్టేషన్ వెనుక ఉన్న పరికరాలు Ethernet పోర్టుకు వస్తాయి మరియు ఫార్వార్డింగ్ నిర్ణయం అవసరం. మొదటి మార్గం కోసం రాసిన మినహాయింపు రెండవదాన్ని ఎప్పటికీ చూడదు, అందుకే బ్రౌజర్ సొరంగాన్ని దాటవేస్తుంది, పరికరాలు దాటవేయవు.
రెండు ప్యాకెట్ మార్గాలు, ఒక విధానం
| Origin | Path | Decision owner |
|---|---|---|
| Application on the workstation | OUTPUT then egress | The VPN app's routing policy |
| Device behind the workstation | PREROUTING then FORWARD | The workstation's own forwarding policy |
మొదటి వరుస చాలా split-tunneling గైడ్‌లు వివరించేది. రెండవది అదే యంత్రంలో యాదృచ్ఛికంగా ఉండే రౌటర్ కాన్ఫిగరేషన్. రెండింటినీ ఒకే మానసిక నమూనాలో కరిగించడమే పొరపాటు; అవి కెర్నల్‌ను పంచుకుంటాయి, విధానాన్ని కాదు. ఏ నియమాన్నైనా సవరించే ముందు రెండు మార్గాలను గీయండి, మిగిలిన రూపకల్పన ఏ మార్గం లేదు అనే దాని నుండి వస్తుంది.
ఒక యంత్రం ఒక పరీక్షలో ఉత్తీర్ణమై మరొకదానిలో విఫలం కావడం ఎందుకు అని కూడా పట్టిక వివరిస్తుంది. వర్క్‌స్టేషన్‌లోని బ్రౌజర్ స్థానిక మార్గాన్ని నిరూపిస్తుంది; Ethernet పోర్టులో కలిపిన ల్యాప్‌టాప్ ఫార్వార్డింగ్ మార్గాన్ని నిరూపిస్తుంది. ప్రతి మార్పును రెండింటితోనూ ధృవీకరించండి, లేకుంటే బ్రౌజర్ ఎన్నిసార్లు రిఫ్రెష్ అయినా రెండవది పరీక్షించబడకుండా ఉంటుంది.
యాప్ మినహాయింపు నిజంగా ఏమి వర్గీకరిస్తుంది
ప్రతి-యాప్ మినహాయింపు సాధారణంగా ఇలా పనిచేస్తుంది: ప్రాసెస్ లేదా వినియోగదారు ప్యాకెట్లను గుర్తిస్తుంది, తర్వాత గుర్తించిన ట్రాఫిక్‌ను సొరంగం వెలుపలికి మళ్లిస్తుంది. ఇది స్థానిక-అవుట్‌పుట్ నిర్మాణం. దిగువ పరికరం ప్యాకెట్‌కు స్థానిక ప్రాసెస్ ఉండదు, కాబట్టి అది ఎంపికకారుతో ఎప్పటికీ సరిపోలదు, ఎంపికకారు ఏదైనా.
ఎంపికకారు ఏదైనా, రెండు జాబితాలు ఒకే జాబితా కావు, అదే ముఖ్యాంశం. Mullvad యొక్క Linux గైడ్ దాని ఫైర్‌వాల్ మరియు రూటింగ్ విధానం వినియోగించే గుర్తులను వివరిస్తుంది, దాని ఉదాహరణలు స్థానిక అవుట్‌పుట్‌ను లక్ష్యంగా చేసుకుంటాయి; అవి దిగువ రౌటర్‌కు మద్దతు ఇచ్చిన వివరణ కాదు. వాటిని కాపీ చేస్తే ప్రతిదీ సొరంగంలోకి ఫార్వార్డ్ చేస్తూనే తనకు మినహాయింపు ఉందని నమ్మే యంత్రం వస్తుంది.
ట్రాన్జిట్ ఒప్పందాన్ని రాయండి
దిగువ మూల పూర్వపదం మరియు ఇన్‌గ్రెస్ ఇంటర్‌ఫేస్‌ను కలిసి పేర్కొనండి, తర్వాత ఆ పూర్వపదాన్ని ఇన్‌గ్రెస్‌లో పరిమితం చేయండి. పరిమితి లేకుండా, పోర్టుకు చేరే ఏ పరికరమైనా మినహాయించిన చిరునామాను క్లెయిమ్ చేసి బైపాస్ ద్వారా బయటకు వెళ్లవచ్చు. దీన్ని రెండు ప్రశ్నలుగా చూడండి: ఈ హోస్ట్‌లు ఈ పైలింక్‌ను అసలు ఉపయోగించవచ్చా, మరియు అవి వర్క్‌స్టేషన్ లేదా సొరంగం యొక్క ప్రైవేట్ పరిధులను చేరుకోగలవా? ఇవి అదనపు అనుమతులు, పైలింక్ ఎంపిక యొక్క దుష్ప్రభావాలు కావు.
ఫార్వార్డింగ్‌ను అనుమతించండి, తర్వాత దాన్ని ఫిల్టర్ చేయండి. Linux గేట్‌వేకు ఫార్వార్డింగ్ ప్రారంభమై ఉండాలి, రెండు దిశల్లో ఉద్దేశించిన ట్రాఫిక్‌ను అనుమతించే నియమాలు, మరియు పైకి తిరుగు మార్గం లేదా ఉద్దేశపూర్వకంగా పరిమితం చేసిన మూల అనువాదం అవసరం. NAT ఒక్కటే పైలింక్‌ను ఎంచుకోదు మరియు ఫిల్టర్ ద్వారా ప్రయాణాన్ని ఇవ్వదు; అది ఆ నిర్ణయాల తర్వాత చిరునామాను మాత్రమే తిరిగి రాస్తుంది.
ట్రాన్జిట్ కోసం వర్గీకరణ ఫార్వార్డింగ్ మార్గ నిర్ణయానికి ముందు జరగాలి, అంటే output కాదు, prerouting దశలో. నిర్ణయం తర్వాత ఉంచిన నియమం ప్యాకెట్‌ను మార్చగలదు, కానీ ప్యాకెట్ ఇప్పటికే ఎక్కడికి పంపబడిందో మార్చలేదు.
గుర్తులు వాటిని కలిగి ఉన్న యాప్‌కే చెందుతాయి
గుర్తు విలువలు, పట్టిక సంఖ్యలు మరియు చైన్ ప్రాధాన్యతలు VPN యాప్ విధానంలో భాగం, శాశ్వత స్థిరాంకాలు కావు. మరో ప్రోగ్రామ్ తిరిగి సృష్టించే పట్టికలో నియమాన్ని చొప్పించడంపై ఆధారపడే నెట్‌వర్క్ తదుపరి నవీకరణలో విరిగిపోతుంది, సాధారణంగా తిరిగి కనెక్ట్ అయ్యే సమయంలో, అనుకూలమైన సమయంలో కాదు.
accept తీర్పుతో రెండవ మూల చైన్‌ను జోడించడం తర్వాతి చైన్ యొక్క drop ను తప్పనిసరిగా అధిగమించదు. మూల చైన్‌లకు హుక్‌లు మరియు ప్రాధాన్యతలు ఉంటాయి, క్రమంలో మొదటి తీర్పే గెలుస్తుంది; ఒక చైన్‌లోని accept మరో చైన్ మొదట చేరుకునే drop ను రద్దు చేయదు. పెరిగిన ఒకే కౌంటర్‌ను కాదు, పూర్తి నియమ సమూహాన్ని మరియు రూటింగ్ విధాన క్రమాన్ని చూడండి. కౌంటర్ నియమం నడిచిందని నిరూపిస్తుంది, దాని తీర్పే వర్తించబడిందని ఎప్పటికీ నిరూపించదు.
సమన్వయం చేయండి, లేదా సబ్‌నెట్‌ను తరలించండి
రెండు రూపకల్పనలు బైపాస్ యాజమాన్యం ఎవరికి ఉంది అనే దానిలో భిన్నంగా ఉంటాయి. సమన్వయ రూపకల్పన ఒక యంత్రాన్ని మరియు ఒక విధానాన్ని ఉంచుతుంది, కానీ VPN యాప్ పట్టిక జీవిత చక్రం మరియు దాని పత్రాలు మార్చగల గుర్తుల సమూహంపై ఆధారపడే ధరతో. దిగువ నెట్‌వర్క్ కోసం ప్రత్యేక రౌటర్ ఆ ఆధారాన్ని పూర్తిగా తొలగిస్తుంది: సబ్‌నెట్‌కు దాని స్వంత పైలింక్ ఉంటుంది, మరియు వర్క్‌స్టేషన్ ఫార్వార్డింగ్ పాత్ర లేని క్లయింట్‌గా కొనసాగుతుంది.
దిగువ నెట్‌వర్క్ VPN నవీకరణల మధ్య పనిచేస్తూ ఉండాల్సినప్పుడు, లేదా ప్రతి విడుదల తర్వాత సమన్వయ విధానాన్ని ఎవరూ పరీక్షించలేనప్పుడు రెండవదాన్ని ఎంచుకోండి. సమన్వయం పత్రీకరించబడి ఎవరో బాధ్యత తీసుకున్నప్పుడు మాత్రమే మొదటిదాన్ని ఎంచుకోండి.
నాలుగు స్థితుల్లో సరిహద్దును ధృవీకరించండి: కనెక్ట్ అయినది, తిరిగి కనెక్ట్ అవుతున్నది, ఉద్దేశపూర్వకంగా నిరోధించబడినది మరియు ఆపివేయబడినది. ప్రతి దానిలో పేరు పరిష్కారం మరియు రెండు చిరునామా కుటుంబాలను తనిఖీ చేయండి, ఎందుకంటే DNS లీక్ చేసే బైపాస్ మీరు రూపకల్పన చేసిన మినహాయింపు కాదు. పరీక్ష ఖచ్చితమైన సరిహద్దును నిరూపించాలి, ఒక పేజీ లోడ్ అయిందని మాత్రమే కాదు.