VPN ng telepono pauwi: gawing exit sa internet ang firewall

Ang pagkonekta ng telepono sa tunnel ng bahay at pagbukas ng LAN file sharing ay nagpapatunay na gumagana ang tunnel. Hindi nito pinatutunayan na lumalabas sa bahay ang mga internet request ng telepono. Ang pagkakaiba ng dalawang resulta ay patakaran sa pagpapasa at ruta, hindi isa pang checkbox sa telepono. Ito rin ang pagkakaibang inaakala ng karamihan na naayos na nila.

Tatlong desisyon ang gumagawa ng daan palabas: ano ang ipinapadala ng telepono sa tunnel, saan ito ipinapasa ng gateway ng bahay, at ano ang nangyayari kapag wala ang tunnel. Bawat isa ay may failure mode na mula sa screen ng telepono ay mukhang katulad ng iba.

Dalawang pagtalon, dalawang patakaran

Nagtatapos ang panlabas na koneksyon sa tagapakinig ng VPN ng bahay. Ang panloob na packet ay hiwalay na bagay na kailangang ipasa sa isang lugar, at ang pagpapasa ay ibang desisyon ng firewall kaysa sa pagtanggap ng tunnel sa simula.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Sa karaniwang router ng bahay, nabubuhay ang mga ito sa magkaibang set ng patakaran. Ang pagtanggap ng tunnel ay patakaran sa pagpasok sa interface ng VPN; ang pagpapadala ng trapiko ng telepono sa internet ay patakaran sa pagpapasa at ang pagsasalin ng pinagmulan na kailangan ng uplink. Ang router na tumatanggap ng tunnel at walang ipinapasa ay gumagawa ng teleponong nagpapakita ng konektado at walang niloload na pahina.

Kung tumatakbo ang serbisyo ng VPN sa hiwalay na makina sa loob ng bahay, magdagdag ng isang pagtalon. Nakikita na ngayon ng router ang trapikong galing sa makinang iyon, kaya nalalapat ang mga patakaran nito sa address ng server at hindi sa address ng tunnel ng telepono, at ang pagsasalin ng pinagmulan ay maaaring gawing isang host ang bawat telepono.

Ang tagapakinig ay hindi ang filter

Magpasya kung saan nangyayari ang pagpapatupad habang umiiral pa ang impormasyong kailangan mo. Sa router, nakikita ang address ng tunnel ng telepono at direktang maipapares. Sa likod ng pangalawang pagsasalin, wala na ito, at ang mga patakarang isinulat para sa address ng telepono ay tahimik na walang katugma.

Ito ang karaniwang dahilan kung bakit gumagana ang patakaran sa laptop at hindi sa telepono. Direktang kumokonekta ang laptop sa router, ang telepono ay kumokonekta sa server na nagpapasa sa router, at tanging ang unang landas ang nagpapanatili ng address na inaasahan ng patakaran. Hindi mali ang patakaran; nagpapares ito sa halagang wala nang umiiral sa puntong iyon.

Isulat ang landas kasama ang source address na nakikita sa bawat punto ng pagpapatupad. Ang isang diagram na iyon ay lumulutas sa karamihan ng mga kasong ito bago pa mabago ang anumang patakaran.

Ano ang dapat talagang ipadala ng telepono

Ang teleponong tumatanggap lamang ng ruta patungo sa subnet ng bahay ay nagpapadala lamang ng trapiko ng subnet na iyon sa tunnel. Ang lahat ng iba ay lumalabas sa mobile network, kaya gumagana ang file sharing at hindi kailanman nakakaabot ang mga internet request sa bahay.

Ang buong saklaw ng tunnel ay desisyon sa routing sa panig ng kliyente, at dapat itakda gamit ang mekanismong sinusuportahan ng platform, hindi inaasahan mula sa profile na ini-install. Kapag naitakda na, ang rutang pabalik sa server ng VPN mismo ay dapat manatili sa labas ng tunnel, kung hindi ay hindi mapapanatili ng kliyente ang sariling transport.

Ang DNS ay nararapat sa sariling desisyon, dahil ito ang bahaging pinakamalamang lumihis mula sa ibang trapiko. Ang address ng resolver sa profile ay mungkahing iba ang pagtrato ng mga kliyente, at ang aplikasyong may sariling naka-encrypt na resolver ay maaaring dumaan sa ganap na hiwalay na landas. Kung ang patakaran ng bahay ay nakasalalay sa pag-abot ng mga query sa isang partikular na resolver, ipatupad ito kung saan talaga dumadaan ang trapiko, o tanggapin na may mga query na hindi gagawa nito. Ang query na lumalampas sa iyong resolver ay hindi kailanman nakakaabot sa patakarang isinulat para dito.

Ang IPv6 ay kabilang sa parehong talata ng DNS, hindi sa apendiks. Ang buong tunnel ng IPv4 ay walang sinasabi tungkol sa trapikong AAAA, at ang telepono sa dual-stack na mobile network ay malugod na gagamit ng katutubong landas para dito. Piliin ang pagdadala o pagharang nang tahasan.

Ano ang nakikita at hindi nakikita ng firewall

Maaaring kumilos ang gateway sa kung ano ang inilalantad ng punto ng pagpapatupad nito: mga address, port, protocol, interface at metadata ng koneksyon. Ang naipasang HTTPS request ay hindi nagbibigay ng nilalaman ng pahina o password dahil lamang dumadaan ito sa tunnel ng bahay.

Nararapat sabihin ang limitasyong iyon dahil ang pariralang «ipasa ito sa firewall» ay nagpapahiwatig ng mas maraming pagsusuri kaysa ginagawa ng router ng bahay. Ang patakaran sa destinasyon, patakaran sa DNS at proxy sa antas ng aplikasyon ay tatlong magkaibang kontrol na may tatlong magkaibang gastos sa pag-deploy.

Huwag ipagpalagay na ang feature na na-configure para sa mga kliyente ng LAN ng bahay ay nalalapat sa interface ng VPN. Ang pagiging miyembro ng zone ay pagpipilian sa configuration, at ang interface ng VPN na wala sa tamang zone ay hindi nagmamana ng alinman sa mga patakarang sinubukan mo mula sa sopa.

Magpasya sa naka-disconnect na estado

Kapag hindi available ang tunnel, bumabalik ang telepono sa mobile network o tumatanggi itong magpadala ng trapiko. Pareho silang makatwiran, at isa lamang sa kanila ang tumutugma sa inaakalang na-configure ng karamihan.

Ang pagbalik ay maginhawa at tumatagas ayon sa kahulugan: ang sandaling bumagsak ang tunnel ay ang sandaling lumalabas ang mga request sa landas ng carrier. Ang pagharang ay mas matibay at ginagawang nakadepende ang telepono sa maabot na bahay, na tunay na gastos sa availability para sa naglalakbay. Wala sa dalawang pag-uugali ang bug; pareho silang produkto, at pumipili ka sa pagitan nila sinabi mo man ito o hindi.

Subukan ang pinili sa halip na ipagpalagay ito. Ihinto ang serbisyo ng bahay, pagkatapos subukan ang isang request mula sa browser ng telepono at isa mula sa app na tumatakbo sa background. Ang muling pagkonekta mamaya ay hindi binabalik ang mga request na lumabas na.

Tapusin sa dalawang kontroladong pagsusuri mula sa telepono mismo: isang pinapayagang operasyon na dapat dumaan sa bahay, at isang pagtanggi na dapat ipatupad ng patakaran ng bahay. Kumpirmahin na naitala ng gateway ang daloy na inaasahan mo, sa pamilya ng address na inaasahan mo, pagkatapos ng muling pagkonekta. Ang teleponong nagpapakita ng Konektado ay simula ng pagpapatunay na iyon, hindi kailanman katapusan.