Mga patakaran ng VPN sa router: itugma ang source at destinasyon

Ipinapakita ng mga pahina ng pamimili ng router ang VPN routing bilang isang checkbox, at itinatago ng pariralang iyon ang tatlong magkakaibang tanong. Tumutugma ba ang patakaran sa device na nagpapadala ng trapiko, sa server na tumatanggap nito, o sa pareho? Ano ang nangyayari sa trapikong hindi tumutugma sa alinman? At kapag nag-overlap ang dalawang patakaran, alin ang nananalo? Ang pagsulat ng sagot bilang pares ng source at destinasyon ay ginagawang masubok na disenyo ang malabong listahan ng feature.

Itinatago ng pangalan ng feature ang dalawang dulo

Ang media player na dapat gumamit ng tunnel ay tugma sa source. Ang pribadong office prefix na dapat maabot sa pamamagitan ng tunnel ay tugma sa destinasyon. Ang workstation na dapat gumamit ng tunnel para sa isang serbisyo lamang ay pareho, at ang intersection na iyon ay ang kaso na hindi maganda ang paghawak ng karamihan sa consumer firmware.

Isulat ang pangangailangan bilang pares bago ihambing ang mga produkto. Ang pares na iyon ang susubukan mo mamaya.

Ang produktong nag-aalok ng listahan ng device o pandaigdigang listahan ng destinasyon ay maaaring hindi maipahayag ang «itong device lang, itong mga destinasyon lang». Hindi kosmetiko ang agwat: ang pandaigdigang patakaran ng destinasyon ay nagpapadala ng trapiko ng bawat device papunta sa site na iyon sa pamamagitan ng tunnel, at ang patakaran ng device ay nagpapadala ng lahat ng trapiko ng device na iyon. Wala sa dalawa ang pangangailangan. Subukan ang kasong iyon gamit ang dalawang device bago magtiwala sa screen.

Itayo ang patakaran bilang intersection

Pinapanatili ng talahanayan na tapat ang disenyo. Ilagay ang senaryo sa kaliwa, pagkatapos ay pangalanan nang hiwalay ang tugma ng nagpadala at ang tugma ng target:

Ang ikatlong hilera ang kawili-wili, dahil kailangan nito ang dalawang hati nang sabay. Kung ang firmware ay makapagpapahayag lamang ng isang axis, kailangang hatiin ang pangangailangan sa dalawang patakaran o ilipat sa device na kaya itong gawin.

Panatilihing matatag ang pagkakakilanlan ng source. Gumagana ang reserbasyon ng DHCP, nakalaang segment, o mekanismo ng pagkakakilanlan ng device, ngunit ang address na nagbabago pagkatapos mag-expire ang lease ay hindi. Isama ang IPv6, dahil ang isang address ng IPv4 ay hindi nakikilala ang lahat ng trapiko ng device.

Ang prayoridad ang nagpapasya sa overlap

Normal ang pag-overlap ng mga patakaran. Ang malawak na patakaran ng device at makitid na patakaran ng destinasyon ay maaaring parehong maglarawan ng isang daloy, at ang nakadokumentong pagkakasunod-sunod ng prayoridad ang nagpapasya kung alin ang nananalo. Hindi sinasabi ng kaakit-akit na screen ng settings ang order na iyon.

Basahin ang manwal para sa order at para sa kasong walang tugma, pagkatapos ay subukan ang pareho gamit ang trapikong maaari mong obserbahan:

ip rule show
ip route get 203.0.113.10

Kung hindi tinukoy ng dokumentasyon ang order, ipagpalagay na maaaring hindi manalo ang mas makitid na patakaran at magdisenyo nang isinasaalang-alang iyon. Ang dalawang patakarang hindi maaaring magbanggaan ay mas madaling suportahan kaysa isang matalinong patakaran na hindi nakadokumento ang precedence.

Kailangan ng mga pangalan ng patakaran sa pag-refresh

Ang destinasyong nakasulat bilang domain ay nagdaragdag ng problema sa maintenance. Dapat itong i-resolve ng router, i-refresh ang mapping, pangasiwaan ang maraming address at subdomain, at harapin ang DNS ng application na lumalampas sa inaasahang resolver.

Ang pagkopya ng isang resulta ng lookup sa isang patakaran ng IP ay snapshot, hindi patakaran ng domain.

Magpasya kung gaano kaluma ang isang sagot bago mali ang patakaran, at ano ang ginagawa ng router kapag nabigo ang resolution. Ang patakarang nagpapanatili ng huling kilalang address ay maaaring mabuhay nang lampas sa migration ng serbisyo; ang patakarang nagtatapon ng entry ay maaaring tahimik na ihinto ang tunneling. Pareho itong katanggap-tanggap kung nakasulat sa tabi ng patakaran.

Tukuyin ang hindi available na estado

Hindi ipinipilit ng kagustuhan sa ruta ang trapikong VPN-only. Kapag down ang tunnel, maaaring harangin ng router ang daloy, ipadala ito nang direkta, o gumamit ng ibang tunnel, at bawat pagpipilian ay may ibang lagda ng pagpalya.

Magpasya kung alin ang kailangan ng pangangailangan, pagkatapos ay i-verify sa pamamagitan ng paghinto ng tunnel at pagmamasid sa daloy:

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10

Ang trapikong nagmumula sa router mismo ay hiwalay na saklaw. Ang pagpapasa ng DNS, mga pagsusuri ng update, at monitoring ay maaaring magsimula ng mga bagong daloy mula sa router mismo sa halip na manahin ang tugma ng source ng device. Isaalang-alang nang tahasan ang mga daloy na iyon, kung hindi ay lalabas ang mga ito bilang hindi maipaliwanag na pagtagas sa mga log.