Telefondan eve VPN: güvenlik duvarını internet çıkışınız yapın

Bir telefonu ev tüneline bağlayıp LAN dosya paylaşımını açmak tünelin çalıştığını kanıtlar. Telefonun internet isteklerinin evden çıktığını kanıtlamaz. Bu iki sonuç arasındaki fark, yönlendirme politikası artı bir rotadır, telefondaki bir onay kutusu daha değil. Çoğu insanın zaten yapılandırdığını sandığı fark da budur.

Üç karar çıkış yolunu üretir: telefonun tünele ne gönderdiği, ev ağ geçidinin onu nereye yönlendirdiği ve tünel yokken ne olduğu. Her birinin telefon ekranından diğerleri gibi görünen bir arıza modu vardır.

İki sıçrama, iki politika

Dış bağlantı evdeki VPN dinleyicisinde biter. İç paket bir yere yönlendirilmesi gereken ayrı bir nesnedir ve yönlendirme, tüneli baştan kabul etmekten farklı bir güvenlik duvarı kararıdır.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Tipik bir ev yönlendiricisinde bunlar farklı kural kümelerinde yaşar. Tüneli kabul etmek VPN arayüzünde giriş politikasıdır; telefonun trafiğini internete göndermek yönlendirme politikası artı uplink'in ihtiyaç duyduğu kaynak çevirisidir. Tüneli kabul edip hiçbir şey yönlendirmeyen bir yönlendirici, bağlı görünen ve hiçbir sayfa yüklemeyen bir telefon üretir.

VPN hizmeti evin içindeki ayrı bir makinede çalışıyorsa bir sıçrama ekleyin. Artık yönlendirici o makineden gelen trafiği görür, bu yüzden kuralları telefonun tünel adresine değil sunucunun adresine uygulanır ve kaynak çevirisi her telefonu tek bir ana bilgisayar gibi gösterebilir.

Dinleyici filtre değildir

İhtiyacınız olan bilgi hâlâ varken zorlamanın nerede gerçekleştiğine karar verin. Yönlendiricide telefonun tünel adresi görünür ve doğrudan eşleştirilebilir. İkinci bir çevirinin arkasında o yoktur ve telefonun adresine yazılmış kurallar sessizce hiçbir şeyle eşleşmez.

Bir politikanın dizüstü bilgisayarda çalışıp telefonda çalışmamasının olağan nedeni budur. Dizüstü bilgisayar doğrudan yönlendiriciye bağlanır, telefon yönlendirici üzerinden yönlendiren bir sunucuya bağlanır ve kuralın beklediği adresi yalnızca ilk yol korur. Kural yanlış değildir; o noktada artık var olmayan bir değerle eşleşmektedir.

Yolu her zorlama noktasında görünen kaynak adresiyle yazın. Bu tek şema, herhangi bir kural düzenlenmeden önce bu durumların çoğunu çözer.

Telefon gerçekte ne göndermeli

Yalnızca ev alt ağına rota alan bir telefon, tünele yalnızca o alt ağın trafiğini gönderir. Geri kalan her şey mobil ağdan çıkar, bu yüzden dosya paylaşımı çalışır ve internet istekleri eve asla ulaşmaz.

Tam tünel kapsamı istemci tarafında bir yönlendirme kararıdır ve platformun desteklediği mekanizmayla ayarlanmalıdır, kurulan profilden varsayılmamalıdır. Ayarlandıktan sonra VPN sunucusunun kendisine dönüş rotası tünelin dışında kalmalıdır, yoksa istemci kendi taşımasını sürdüremez.

DNS kendi kararını hak eder, çünkü trafiğin geri kalanından sapmaya en yatkın kısım odur. Profildeki çözümleyici adresi istemcilerin farklı ele aldığı bir öneridir ve kendi şifreli çözümleyicisi olan bir uygulama tamamen ayrı bir yol izleyebilir. Ev politikası isteklerin belirli bir çözümleyiciye ulaşmasına bağlıysa, bunu trafiğin gerçekte geçtiği yerde uygulayın ya da bazı isteklerin bunu yapmayacağını kabul edin. Çözümleyicinizi atlayan bir istek, onun için yazılmış bir kurala asla ulaşmaz.

IPv6, DNS ile aynı paragrafta yer alır, ekte değil. Tam bir IPv4 tüneli AAAA trafiği hakkında hiçbir şey söylemez ve çift yığınlı mobil ağdaki bir telefon bunun için yerel yolu memnuniyetle kullanır. Taşımayı veya engellemeyi açıkça seçin.

Güvenlik duvarı neyi görür, neyi göremez

Ağ geçidi, zorlama noktasının açığa çıkardığı şeyler üzerinde işlem yapabilir: adresler, bağlantı noktaları, protokol, arayüz ve bağlantının üst verileri. Yönlendirilmiş bir HTTPS isteği, yalnızca ev tünelinden geçtiği için sayfa gövdesini veya parolayı vermez.

Bu sınırı söylemeye değer, çünkü «bunu güvenlik duvarından geçir» ifadesi ev yönlendiricisinin yaptığından daha fazla denetim ima eder. Hedef kuralı, DNS politikası ve uygulama katmanı vekili, üç farklı dağıtım maliyeti olan üç farklı kontroldür.

Ev LAN istemcileri için yapılandırılmış bir özelliğin VPN arayüzü için de geçerli olduğunu varsaymayın. Bölge üyeliği bir yapılandırma seçimidir ve doğru bölgede olmayan bir VPN arayüzü, kanepeden test ettiğiniz kuralların hiçbirini devralmaz.

Bağlantı kesildi durumuna karar verin

Tünel kullanılamadığında telefon ya mobil ağa geri döner ya da trafiği göndermeyi reddeder. İkisi de makuldür ve yalnızca biri çoğu insanın yapılandırdığına inandığı şeye uyar.

Geri dönüş kullanışlıdır ve tanımı gereği sızdırır: tünelin düştüğü an, isteklerin operatörün yolundan çıktığı andır. Engelleme daha güçlüdür ve telefonu evin erişilebilir olmasına bağımlı kılar, bu da seyahat eden biri için gerçek bir erişilebilirlik maliyetidir. İki davranışın hiçbiri hata değildir; ikisi de üründür ve söyleseniz de söylemeseniz de aralarında seçim yapıyorsunuz.

Seçimi varsaymak yerine test edin. Ev hizmetini durdurun, sonra telefonun tarayıcısından bir istek ve arka planda çalışan bir uygulamadan bir istek deneyin. Daha sonra yeniden bağlanmak, çoktan çıkmış istekleri geri almaz.

Telefonun kendisinden iki kontrollü denetimle bitirin: evden geçmesi gereken bir izinli işlem ve ev politikasının uygulaması gereken bir ret. Yeniden bağlandıktan sonra ağ geçidinin beklediğiniz akışı beklediğiniz adres ailesinde günlüğe kaydettiğini doğrulayın. «Bağlı» gösteren bir telefon o doğrulamanın başlangıcıdır, asla sonu değil.