Özel yolları koruyun ve yönlendirmeyi bırakın: OpenVPN bölünmüş tüneli

Tünel açılır, uygulama yüklenir ve sonra dizüstü bilgisayardaki her şey tuhaf davranmaya başlar. Tek bir satırı silerek uygulanan yalnızca özel politikasının olağan biçimi budur. İtilen varsayılan yolu kaldırmak trafiğin nereye gittiğini gerçekten değiştirir, ancak trafiğin bunun yerine nereye gitmesi gerektiğini söylemez ve ad çözümlemesine hiç dokunmaz. Bir politikanın test edilebilmesi için iki olumlu yarıya ihtiyacı vardır.

Yönlendirmeyi silmek değişikliğin yalnızca yarısıdır

Tam tünel yönlendirmesi ile yalnızca özel politika, dünya hakkında iddia ettikleri bakımından farklıdır. Yönlendirme her hedefi talep eder, özel politika ise bir liste talep eder ve gerisini rahat bırakır. Listeyi yazmadan talebi silmek, yerel ağ dışında hiçbir yere ulaşamayan bir istemci üretir; bu, politikadaki bir boşluktan çok yönlendirme arızası gibi görünür. Talebi kaldırmadan önce listeyi yazın; o zaman bu iki adımın sırası artık önemli olmaz.

İki yarı da varsayılan değil gereksinimdir. Özel önekler tünele girmeli, normal hedefler ise bağlantıdan önce sahip oldukları yolu korumalıdır.

Bir kuruluş tam tüneli zorunlu kılıyorsa bunların hiçbiri geçerli değildir. Yalnızca özel tasarım, bölünmüş yönlendirmenin onaylandığı kurulumlara aittir.

pull-filter bir eşleşmedir, anahtar değil

pull-filter yönergesi, adları bir önekle eşleşen itilen seçenekleri kaldırır ve yaptığı tek şey budur. Yönlendirmeyi yok saymak, itilen diğer her seçeneği yerinde bırakır; bu genellikle istediğiniz şeydir: yollar, DNS ayarları ve yol ağ geçidi değeri yine de gelir. Yerel profilde yazılı bir yönergeyi de kaldıramaz, çünkü filtreleme sunucunun ittiği şeylere uygulanır.

route ile başlayan her seçeneği yok sayma cazibesine direnin. Bu kalıp, bağlantının ihtiyaç duyduğu özel yolları da çöpe atar ve tünelin bağlı olduğu ağ geçidi bilgilerini düşürebilir.

route-nopull göründüğünden daha geniş bir karardır. İstemcinin itilen yolları ve DHCP tarzı seçenekleri bir grup olarak kabul etmesini engeller; bu, tek bir seçeneği filtrelemekten farklı bir politikadır.

Yol listesini uygulamadan dışarı doğru yazın

Kullanıcının gerçekte açtığı şeyle başlayın, sonra destekleyici parçaları ekleyin. 10.60.20.15 adresindeki bir uygulama kendi alt ağını 10.60.0.0/16 ima eder ve özel bir ad, ona yanıt veren çözümleyiciyi ima eder. Bu nedenle tek bir uygulama isteyen kullanıcının iki hedefe ve bir DNS kararına ihtiyacı vardır. Bu listenin ötesindeki her şey tasarım gereği kapsam dışıdır ve politikayı gözden geçirilebilir kılan da budur.

İşbirliği yapan bir sunucuda bunlar iki itilen yol olur ve hiçbiri yönlendirme değildir. Mevcut hizmetin sağladığı tünel topolojisini ve yol ağ geçidi değerlerini koruyun.

Bu politika yalnızca bazı kullanıcılara gerekiyorsa, istemci veya grup başına uygulayın. Tek bir ekibin gereksinimini düzeltmek için herkesin yönlendirmesini değiştirmek, bölünmüş bir tünelin kesintiye dönüşme yoludur.

DNS aynı yolu izlesin

Çözümleyiciye giden bir yol, çözümleyici politikası değildir. Bir systemd-resolved istemcisinde anlamsal sonuç, özel ad alanı için dahili çözümleyiciyi işaret eden bir yönlendirme etki alanıdır ve yalnızca bu adların onu kullanmasını sağlayan da budur. Bir Windows istemcisi bunun yerine kendi ad alanı politikası mekanizmasına ihtiyaç duyar. Profildeki bir DNS sunucu satırı ikisini de kendi başına kurmaz.

Profilin istediğine değil, işletim sisteminin ne seçtiğine bakın. Linux'ta resolvectl status her bağlantı için etki alanını ve sunucuyu gösterir; Windows'ta ad alanı politikası tablosu eşdeğer kanıttır.

Çözümleyiciyi tünel üzerinden erişilebilir tutun, yoksa politika sorgulanamayan bir adrese işaret eder. Tünelin ulaşamadığı bir çözümleyici adresi, çalışan bir politikayı zaman aşımına çevirir.

Yeniden bağlanmada iki yarıyı da doğrulayın

Değişiklikten sonra istemciyi yeniden bağlayın ve özel bir adrese ve genel bir adrese giden etkin yolu inceleyin. Ardından özel bir adı ve genel bir adı çözün ve her birinin amaçlanan çözümleyiciyi kullandığını doğrulayın. Genel bir web sitesinin yüklenmesi yalnızca ikinci yarıyı kanıtlar ve genellikle çalışan yarı da tesadüfen odur.

Tamamlanan politikayı tek bir cümleyle kaydedin: bu önekler ve adlar bu bağlantıyı kullanır, diğer her şey yerel yolu izler. Sonra her oturum açmadan sonra bağdaştırıcı ayarlarını onarmak yerine onu profilde tutun.