Quyi quyi tarmoq va ish stoli VPN: tranzitni chiqarib tashlang, ilovalarni emas

Bitta mashina, ikkita ish, bitta xavfsizlik devori: Wi-Fi yuqori kanali, uning orqasida kichik Ethernet quyi tarmog‘i va mashinadan chiqadigan hamma narsani mahalliy deb hisoblaydigan ish stoli VPN mijozi. Mahalliy ishga tushirilgan ilovalar mahalliy chiqish yo‘li orqali chiqadi. Ish stantsiyasi orqasidagi qurilmalar Ethernet portiga keladi va uzatish qaroriga muhtoj. Birinchi yo‘l uchun yozilgan istisno ikkinchisini hech qachon ko‘rmaydi, shuning uchun brauzer tunnelni chetlab o‘tadi, qurilmalar esa yo‘q.

Ikki paket yo‘li, bitta siyosat

Birinchi qator — ko‘pchilik split-tunneling qo‘llanmalari tasvirlaydigan narsa. Ikkinchisi — o‘sha mashinada tasodifan yashaydigan router konfiguratsiyasi. Ularni bitta aqliy modelga qo‘shish xatodir; ular yadroni bo‘lishadi, siyosatni emas. Har qanday qoidani tahrirlashdan oldin ikkala yo‘lni chizing, qolgan dizayn qaysi yo‘l yetishmayotganidan kelib chiqadi.

Jadval shuningdek, bitta mashina bir testdan o‘tib boshqasida nima uchun yiqilishini tushuntiradi. Ish stantsiyasidagi brauzer mahalliy yo‘lni isbotlaydi; Ethernet portiga ulangan noutbuk uzatish yo‘lini isbotlaydi. Har bir o‘zgarishni ikkalasi bilan tekshiring, aks holda brauzer necha marta yangilansa ham ikkinchisi tekshirilmagan qoladi.

Ilova istisnosi aslida nimani tasniflaydi

Har bir ilova uchun istisno odatda shunday ishlaydi: jarayon yoki foydalanuvchi paketlarini belgilaydi, so‘ng belgilangan trafikni tunnel tashqarisiga yo‘naltiradi. Bu mahalliy chiqish konstruksiyasi. Quyi qurilma paketida mahalliy jarayon yo‘q, shuning uchun u selektor qanday bo‘lishidan qat’i nazar, selektorga hech qachon mos kelmaydi.

Selektor qanday bo‘lishidan qat’i nazar, ikki ro‘yxat bir xil ro‘yxat emas va butun gap shunda. Mullvadning Linux qo‘llanmasi uning xavfsizlik devori va marshrutlash siyosati iste’mol qiladigan belgilarni tasvirlaydi, misollari esa mahalliy chiqishga qaratilgan; ular quyi routerning qo‘llab-quvvatlanadigan tavsifi emas. Ularni nusxalash hamma narsani tunnelga uzatib, o‘zida istisno bor deb hisoblaydigan mashina beradi.

Tranzit shartnomasini yozing

Quyi manba prefiksini va kirish interfeysini birga nomlang, so‘ng bu prefiksni kirishda cheklang. Cheklovsiz portga yetib boradigan har qanday qurilma istisno qilingan manzilni da’vo qilib, chetlanish orqali chiqib ketishi mumkin. Buni ikki savol deb qarang: bu xostlar bu yuqori kanaldan umuman foydalana oladimi va ular ish stantsiyasiga yoki tunnelning xususiy diapazonlariga yeta oladimi? Bu qo‘shimcha ruxsatlar, kanal tanlovining nojo‘ya oqibati emas.

Uzatishga ruxsat bering, so‘ng uni filtrlange. Linux darvozasi yoqilgan uzatishni, mo‘ljallangan trafikni ikki yo‘nalishda ham ruxsat etuvchi qoidalarni va yo yuqoriga qaytish marshrutini yoki ataylab cheklangan manba tarjimasini talab qiladi. NAT o‘zi yuqori kanalni tanlamaydi va filtrdan o‘tishga ruxsat bermaydi; u manzilni faqat shu qarorlardan keyin qayta yozadi.

Tranzit uchun tasniflash uzatish marshruti qaroridan oldin sodir bo‘lishi kerak, ya’ni output emas, prerouting bosqichida. Qarordan keyin qo‘yilgan qoida paketni hali ham o‘zgartirishi mumkin, lekin paket allaqachon qayerga yuborilganini o‘zgartira olmaydi.

Belgilar ularga egalik qiladigan ilovaga tegishli

Belgi qiymatlari, jadval raqamlari va zanjir ustuvorliklari VPN ilovasi siyosatining qismi, abadiy doimiylar emas. Boshqa dastur qayta yaratadigan jadvalga qoida kiritishga bog‘liq tarmoq keyingi yangilanishda buziladi, odatda qayta ulanish paytida, qulay vaqtda emas.

accept hukmi bilan ikkinchi asosiy zanjir qo‘shish keyingi zanjirning drop hukmini albatta bekor qilmaydi. Asosiy zanjirlarda ilgaklar va ustuvorliklar bor va tartibda birinchi hukm yutadi; bir zanjirdagi accept boshqa zanjir birinchi yetadigan dropni bekor qilmaydi. Oshgan bitta hisoblagichni emas, to‘liq qoidalar to‘plamini va marshrutlash siyosati tartibini ko‘ring. Hisoblagich qoida ishlaganini isbotlaydi, uning hukmi qo‘llanganini hech qachon isbotlamaydi.

Birlashtiring yoki quyi tarmoqni ko‘chiring

Ikki dizayn chetlanish kimga tegishli ekanida farq qiladi. Birlashtirilgan dizayn bitta mashina va bitta siyosatni saqlaydi, buning narxi VPN ilovasining jadval hayot tsikli va uning hujjatlari o‘zgartirishi mumkin bo‘lgan belgilar to‘plamiga bog‘liqlikdir. Quyi tarmoq uchun maxsus router bu bog‘liqlikni butunlay olib tashlaydi: quyi tarmoqning o‘z yuqori kanali bor, ish stantsiyasi esa uzatish rolisiz mijoz bo‘lib qoladi.

Ikkinchisini tanlang, agar quyi tarmoq VPN yangilanishlari davomida ishlashda davom etishi kerak bo‘lsa yoki har bir nashrdan keyin birlashtirilgan siyosatni hech kim tekshira olmasa. Birinchisini faqat integratsiya hujjatlashtirilgan va uni kimdir boshqarsa tanlang.

Chegarani to‘rt holatda tekshiring: ulangan, qayta ulanmoqda, ataylab bloklangan va to‘xtatilgan. Har birida nom hal qilishni va ikkala manzil oilasini tekshiring, chunki DNS oqizadigan chetlanish siz loyihalagan istisno emas. Test aniq chegarani isbotlashi kerak, faqat bitta sahifa yuklanganini emas.