VPN มือถือกลับบ้าน: ทำให้ไฟร์วอลล์เป็นทางออกอินเทอร์เน็ตของคุณ

การเชื่อมต่อมือถือเข้ากับอุโมงค์ที่บ้านและเปิดแชร์ไฟล์ใน LAN พิสูจน์ว่าอุโมงค์ทำงานได้ แต่ไม่ได้พิสูจน์ว่าคำขออินเทอร์เน็ตของมือถือออกผ่านบ้าน ความแตกต่างระหว่างสองผลลัพธ์นี้คือนโยบายการส่งต่อบวกเส้นทาง ไม่ใช่ช่องทำเครื่องหมายอีกช่องบนมือถือ และเป็นความแตกต่างที่คนส่วนใหญ่คิดว่าได้ตั้งค่าไว้แล้ว

การตัดสินใจสามอย่างสร้างเส้นทางออก คือสิ่งที่มือถือส่งเข้าอุโมงค์ เกตเวย์บ้านส่งต่อไปที่ใด และเกิดอะไรขึ้นเมื่อไม่มีอุโมงค์ แต่ละอย่างมีโหมดล้มเหลวที่มองจากหน้าจอมือถือแล้วเหมือนกัน

สองการกระโดด สองนโยบาย

การเชื่อมต่อภายนอกสิ้นสุดที่ตัวรับฟัง VPN ของบ้าน แพ็กเก็ตภายในเป็นวัตถุแยกที่ต้องถูกส่งต่อไปที่ใดที่หนึ่ง และการส่งต่อเป็นการตัดสินใจไฟร์วอลล์ที่ต่างจากการยอมรับอุโมงค์ตั้งแต่แรก

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

บนเราเตอร์บ้านทั่วไป สิ่งเหล่านี้อยู่ในชุดกฎที่ต่างกัน การยอมรับอุโมงค์คือนโยบายขาเข้าบนอินเทอร์เฟซ VPN การส่งทราฟฟิกของมือถือออกสู่อินเทอร์เน็ตคือนโยบายส่งต่อบวกการแปลต้นทางที่ uplink ต้องการ เราเตอร์ที่ยอมรับอุโมงค์แต่ไม่ส่งต่อสิ่งใดจะให้มือถือที่แสดงว่าเชื่อมต่อแล้วและโหลดหน้าใดไม่ได้

หากบริการ VPN ทำงานบนเครื่องแยกภายในบ้าน ให้เพิ่มการกระโดดอีกหนึ่งครั้ง ตอนนี้เราเตอร์เห็นทราฟฟิกที่มาจากเครื่องนั้น กฎจึงใช้กับที่อยู่ของเซิร์ฟเวอร์ไม่ใช่ที่อยู่อุโมงค์ของมือถือ และการแปลต้นทางทำให้มือถือทุกเครื่องดูเหมือนโฮสต์เดียว

ตัวรับฟังไม่ใช่ตัวกรอง

ตัดสินใจว่าการบังคับใช้เกิดขึ้นที่ใดในขณะที่ข้อมูลที่คุณต้องการยังมีอยู่ บนเราเตอร์ ที่อยู่อุโมงค์ของมือถือมองเห็นได้และจับคู่ได้โดยตรง หลังการแปลครั้งที่สองมันหายไป และกฎที่เขียนไว้สำหรับที่อยู่ของมือถือก็ไม่ตรงกับสิ่งใดอย่างเงียบ ๆ

นี่คือเหตุผลปกติที่ทำให้นโยบายใช้ได้กับแล็ปท็อปแต่ไม่ใช้กับมือถือ แล็ปท็อปเชื่อมต่อกับเราเตอร์โดยตรง มือถือเชื่อมต่อกับเซิร์ฟเวอร์ที่ส่งต่อผ่านเราเตอร์ และมีเพียงเส้นทางแรกที่รักษาที่อยู่ที่กฎคาดหวังไว้ กฎไม่ได้ผิด แต่กำลังจับคู่กับค่าที่ไม่มีอยู่ ณ จุดนั้นแล้ว

เขียนเส้นทางพร้อมที่อยู่ต้นทางตามที่ปรากฏในแต่ละจุดบังคับใช้ แผนภาพเดียวนี้แก้ปัญหาเหล่านี้ส่วนใหญ่ได้ก่อนที่จะแก้ไขกฎใด ๆ

มือถือต้องส่งอะไรจริง ๆ

มือถือที่ได้รับเพียงเส้นทางไปยังซับเน็ตของบ้านจะส่งเฉพาะทราฟฟิกของซับเน็ตนั้นเข้าอุโมงค์ ส่วนที่เหลือทั้งหมดออกผ่านเครือข่ายมือถือ นี่คือเหตุผลที่การแชร์ไฟล์ทำงานได้และคำขออินเทอร์เน็ตไม่เคยไปถึงบ้าน

ความครอบคลุมอุโมงค์เต็มรูปแบบเป็นการตัดสินใจเส้นทางฝั่งไคลเอนต์ และต้องตั้งค่าด้วยกลไกที่แพลตฟอร์มรองรับ ไม่ใช่สันนิษฐานจากโปรไฟล์ที่ติดตั้ง เมื่อตั้งค่าแล้ว เส้นทางกลับไปยังเซิร์ฟเวอร์ VPN เองต้องอยู่นอกอุโมงค์ มิฉะนั้นไคลเอนต์จะรักษาการขนส่งของตนเองไม่ได้

DNS สมควรได้รับการตัดสินใจของตัวเอง เพราะเป็นส่วนที่เบี่ยงเบนจากทราฟฟิกอื่นได้มากที่สุด ที่อยู่ตัวแปลงในโปรไฟล์เป็นข้อเสนอที่ไคลเอนต์จัดการต่างกัน และแอปที่มีตัวแปลงเข้ารหัสของตัวเองอาจใช้เส้นทางที่แยกจากกันโดยสิ้นเชิง หากนโยบายบ้านขึ้นอยู่กับการที่คำขอไปถึงตัวแปลงที่กำหนด ให้บังคับใช้ในจุดที่ทราฟฟิกผ่านจริง หรือยอมรับว่าคำขอบางส่วนจะไม่ทำเช่นนั้น คำขอที่ข้ามตัวแปลงของคุณจะไม่ไปถึงกฎที่เขียนไว้สำหรับมันเลย

IPv6 อยู่ในย่อหน้าเดียวกับ DNS ไม่ใช่ภาคผนวก อุโมงค์ IPv4 เต็มรูปแบบไม่ได้บอกอะไรเกี่ยวกับทราฟฟิก AAAA และมือถือบนเครือข่ายมือถือแบบสองสแต็กจะใช้เส้นทางดั้งเดิมอย่างยินดี เลือกการขนส่งหรือการบล็อกอย่างชัดเจน

ไฟร์วอลล์เห็นอะไรและไม่เห็นอะไร

เกตเวย์สามารถดำเนินการกับสิ่งที่จุดบังคับใช้ของมันเปิดเผย ที่อยู่ พอร์ต โปรโตคอล อินเทอร์เฟซ และเมทาดาทาของการเชื่อมต่อ คำขอ HTTPS ที่ถูกส่งต่อไม่ได้ส่งเนื้อหาหน้าจอหรือรหัสผ่านเพียงเพราะมันข้ามอุโมงค์ของบ้าน

ขอบเขตนั้นควรค่าแก่การกล่าวถึง เพราะวลี «ส่งมันผ่านไฟร์วอลล์» บ่งบอกถึงการตรวจสอบมากกว่าที่เราเตอร์บ้านทำ กฎปลายทาง นโยบาย DNS และพร็อกซีระดับแอปพลิเคชันเป็นสามการควบคุมที่แตกต่างกันด้วยต้นทุนการปรับใช้ที่แตกต่างกันสามแบบ

อย่าสันนิษฐานว่าคุณสมบัติที่ตั้งค่าไว้สำหรับไคลเอนต์ LAN ของบ้านใช้กับอินเทอร์เฟซ VPN ด้วย สมาชิกภาพโซนเป็นการเลือกการกำหนดค่า และอินเทอร์เฟซ VPN ที่ไม่อยู่ในโซนที่ถูกต้องจะไม่สืบทอดกฎใด ๆ ที่คุณทดสอบจากโซฟา

ตัดสินใจสถานะตัดการเชื่อมต่อ

เมื่ออุโมงค์ไม่พร้อมใช้งาน มือถือจะกลับไปใช้เครือข่ายมือถือหรือปฏิเสธที่จะส่งทราฟฟิก ทั้งสองอย่างสมเหตุสมผล และมีเพียงอย่างเดียวที่ตรงกับสิ่งที่คนส่วนใหญ่เชื่อว่าได้ตั้งค่าไว้

การถอยกลับสะดวกและรั่วไหลตามคำจำกัดความ ชั่วขณะที่อุโมงค์ล่มคือชั่วขณะที่คำขอออกผ่านเส้นทางของผู้ให้บริการ การบล็อกแข็งแกร่งกว่าและทำให้มือถือขึ้นอยู่กับการเข้าถึงบ้านได้ ซึ่งเป็นต้นทุนความพร้อมใช้งานจริงสำหรับผู้ที่เดินทาง ทั้งสองพฤติกรรมไม่ใช่บั๊ก ทั้งคู่เป็นผลิตภัณฑ์ และคุณกำลังเลือกระหว่างกันไม่ว่าคุณจะพูดหรือไม่ก็ตาม

ทดสอบตัวเลือกแทนการสันนิษฐาน หยุดบริการที่บ้าน แล้วลองหนึ่งคำขอจากเบราว์เซอร์ของมือถือและอีกหนึ่งจากแอปที่ทำงานเบื้องหลัง การเชื่อมต่อใหม่ภายหลังไม่ได้ย้อนคำขอที่ออกไปแล้ว

ปิดท้ายด้วยการตรวจสอบควบคุมสองครั้งจากมือถือเอง หนึ่งการดำเนินการที่อนุญาตซึ่งควรผ่านบ้าน และหนึ่งการปฏิเสธที่นโยบายบ้านควรบังคับใช้ ยืนยันว่าเกตเวย์บันทึกโฟลว์ที่คุณคาดหวัง ในตระกูลที่อยู่ที่คุณคาดหวัง หลังการเชื่อมต่อใหม่ มือถือที่แสดง «เชื่อมต่อแล้ว» เป็นจุดเริ่มต้นของการตรวจสอบนั้น ไม่ใช่จุดสิ้นสุด