Bölünmüş tünel hangi trafiğin VPN kullandığına nasıl karar verir

Bölünmüş tünel, bir kural kümesi olarak ifade edilen bir yönlendirme politikasıdır ve istemci yalnızca bunları kuran şeydir. Ayrışma iki yerde olur: her paket için bir yol seçen eşleştirme kuralları ve tablo ne derse desin bir uygulamayı tek bir arayüzde tutan bağlamalar. İstemcinizin hangi mekanizmaya dayandığı, insanların bildirdiği sürprizlerin çoğunu açıklar.

Tek satırda ifade edebildiğiniz bir politika test edilebilir. Daha hızlı gezinme olarak tanımlanan bir politika ise edilemez ve bir istek yanlış yöne gittiğinde hangi kuralın değiştirileceğini söylemez.

Kuralları istemci kurar, seçimi çekirdek yapar

Tünel açıldığında istemci, diğer arayüzlerinizin kullandığı aynı tabloya yollar ve sıklıkla politika kuralları ekler. Her paket daha sonra hedefini her aday önekle karşılaştıran ve en belirgin eşleşmeyi tutan bir aramaya ulaşır, öncelik ise farklı tablolara işaret eden kurallar arasındaki eşitliği çözer. O aramada hiçbir şey paketin yedekleme işinden değil bir tarayıcı sekmesinden geldiğini bilmez. Kazanan kural yolu belirleyendir ve onu değişiklikten önce ve sonra okuyabilirsiniz.

Bu yüzden bölünmüş tünel keyfi görünebilir. Bir uygulamadaki iki hedef, yalnızca bir önek diğerinden daha dar olduğu için farklı yollar izleyebilir.

Aynı seçim her platformda vardır, gerçi adlar değişir. Windows kararı kendi filtre platformuna iter, Android VPN hizmeti üzerinden uygulama başına bir izin listesi sunar ve macOS tüneli hâlâ yönlendirme tablosuna uyan bir aygıta bağlar. Microsoft'un yönlendirme notları Windows durumu için okumaya değer ve bir platform için yazılmış bir kılavuz nadiren değişmeden diğerine aktarılır.

Uygulama başına bağlama ve hedef önekleri farklı araçlardır

Hedef politikası paketin nereye gittiğini sorar ve yol tablosuna ya da bir politika kuralına danışır. Uygulama başına politika hangi programın soketi açtığını sorar ve platform, daha belirgin bir yol başka yeri gösterdiğinde bile o programı tünel arayüzünde tutar. İkincisi tablo değişikliklerini atlattığı için daha güçlüdür, ancak yalnızca platformun atfedebildiği süreçleri kapsar. Bir yardımcı süreç, gömülü bir tarayıcı ya da kendi bağlantısını açan bir hizmet, varsaydığınız bağlamayı miras almayabilir.

İki yaklaşımın hiçbiri yardım olmadan ada dayalı bir politikayı atlatamaz. Büyük sitelerin adresleri içerik ağları arasında döner, bu yüzden bir ana makine adını birkaç öneğe sabitlemek sessizce eşleşmeyi bırakan bir kural üretir. Adları izlemesi gereken bir politika statik bir yol yerine çözümleyiciyi bilen bir bileşene ihtiyaç duyar.

DNS ve güvenlik anahtarı kendi kurallarını izler

Ad çözümleme paket yönlendirmesinden ayrı bir karardır ve bölünmüş tünel genellikle iki çözümleyici ister: iç adlar için şirketin, diğer her şey için yerelin. İstemci arayüz başına DNS ayarları kurabilir, sorguları bir aracı çözümleyiciye verebilir ya da sistem varsayılanını dokunulmadan bırakabilir. Kendi şifreli çözümleyicisi olan bir tarayıcı üç düzenlemenin hepsini atlar. Çözümleyicinin yolu izlediğini varsaymak yerine bir aramayı test edin.

Güvenlik anahtarı üstüne bir filtre ekler ve bu filtre her zaman amaçlanan dışlamayı kazara bir sızıntıdan ayırmaz. Bazı istemciler tünelin dışındaki her şeyi engellerken diğerleri politikanın bildirdiği dışlamalara izin verir, bu yüzden ikisinden birine güvenmeden önce sizin hangi davranışı uyguladığını okuyun.

Ayrılmayı iki taraftan da denetleyin

İçerilen yolu ve dışlanan yolu ayrı ayrı test edin ve sonucu genel bir adresten değil arayüz adından değerlendirin. Bu komutlar tünel aygıtı zaten açık bir Linux makinesi varsayar. 203.0.113.10 yerine politikanızın içeri yönlendirdiği bir hedef, 198.51.100.25 yerine ise dışarı gönderdiği bir hedef koyun.

ip route get 203.0.113.10
ip route get 198.51.100.25
resolvectl query intranet.example.com
curl -s --interface tun0 https://example.com -o /dev/null -w '%{http_code}\n'

İlk iki yanıtı birlikte okuyun, çünkü her birinde adı geçen arayüz ayrılmanın o hedefi tünele koyup koymadığını gösterir. Çözümleyici sorgusu iç ada hangi sunucunun yanıt verdiğini gösterir ve son komut tünel aygıtının bir isteği taşıyabildiğini kanıtlar. İlk satır başarılıyken ikinci satırda bir hata, politikanın kendisine söyleneni tam olarak yaptığı anlamına gelir.

Kümeyi yeniden bağlandıktan sonra ve ağ değiştikten sonra yineleyin. Kira yenileme ve arayüz değişimi, bir ayrılmanın inşa edildiği amaca uymayı bıraktığı yerlerdir ve her çalıştırmadan saklanan çıktı sapmayı belirgin kılar.