Faqat qo‘shish yoki faqat chiqarib tashlash bo‘lingan tunnel: qaysi biri standart?
Ro‘yxat tuzishdan oldin standartni tanlang: faqat nomini aytganingizni tunnelga yuboring yoki hammasini yuborib, istisnolarni kesib oling. So‘ng hech kim ro‘yxatga kiritmagan ilovani sinab ko‘ring.
VPN mijozi sozlamalarida marshrutlash bo‘limini ochsangiz, ko‘pincha bir xil yorliq ostida turgan, shakli boshqacha ikki boshqaruvni ko‘rasiz. Biri tunnelga kirishi kerak bo‘lgan manzillarni sanab chiqishni so‘raydi, qolgan hammasi esa mahalliy tarmoqdan foydalanadi. Ikkinchisi hamma narsa tunneldan o‘tadi deb hisoblab, nimani orqaga kesib olish kerakligini so‘raydi. Ikkalasi ham birinchi sinovda ishlaydigan tunnel beradi va ikkalasi ham ro‘yxatga satr qo‘shish bilan saqlanadi, shuning uchun kimdir yangi narsa o‘rnatmaguncha farq ko‘rinmaydi.
Bu xususiyat emas, standart tanlovidir. Ro‘yxatda yigirma yozuv bo‘lishidan oldin hal qiling.
Standartni broshyuradan emas, mijozdan o‘qing
WireGuard bu qarorni g‘oyat yaqqol qiladi, chunki AllowedIPs faqat qo‘shish ro‘yxati, boshqa ma’nosi yo‘q. 0.0.0.0/0, ::/0 bo‘lgan tengdosh hamma narsani tunnellaydi, 10.20.0.0/16 bo‘lgan tengdosh esa faqat o‘sha tarmoqni tunnellaydi. Chiqarib tashlash sintaksisi yo‘q, shuning uchun bitta quyi tarmoqni tashqarida qoldirmoqchi bo‘lsangiz, qolgan barcha prefikslarni sanashingiz yoki interfeysdan tashqarida siyosat marshrutlashini qo‘shishingiz kerak.
OpenVPN xuddi shu joyga qarama-qarshi tomondan yetib boradi: redirect-gateway def1 to‘liq tunnel o‘rnatadi, alohida route ko‘rsatmalari esa ayrim prefikslarni qo‘shadi yoki qayta yozadi. Tijoriy mijozlar odatda ikkalasini ham belgilash katakchasi va manzillar jadvali orqasiga yashiradi, shuning uchun yorliqqa ishonishdan oldin jadval aslida qaysinisini tahrirlashini o‘qing.
So‘raladigan savol belgilash katakchasining nomi emas. Savol ikkala ro‘yxatda ham uchramaydigan manzilli paketga nima bo‘lishidir. Bunga yozma javob bering, qolgan konfiguratsiya shundan kelib chiqadi. Bu savolni chetlab o‘tsangiz, birinchi tushunarsiz nosozlikni o‘sha kuni mijozga eng yaqin odam hal qiladi.
Hech kim ro‘yxatga kiritmagan ilovani kuzatib boring
Faqat qo‘shish sxemasida bu ilova mahalliy tarmoq va mahalliy DNS bilan to‘g‘ridan-to‘g‘ri chiqadi. Faqat chiqarib tashlash sxemasida u server ruxsat bergan darajada tunneldan o‘tadi, va yangi SaaS asbobining birinchi kundanoq ishlashi bilan VPN uni buzdi degan arizaning orasidagi farq ko‘pincha shu yerda.
Hech bir standart o‘z-o‘zidan xavfsizroq emas. Faqat qo‘shish tunnel tashiydigan doiramni toraytiradi va mahalliy tarmoqni eng kam qarshilik yo‘liga aylantiradi, faqat chiqarib tashlash esa tunnelni odatiy yo‘l deb hisoblab, istisnolarga istisno sifatida munosabatda bo‘ladi, bu aksariyat korporativ siyosatlar aslida nazarda tutgan narsaga yaqinroq.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Platforma qanday turdagi obyektlarni sanashiga e’tibor bering
Android’ning VpnService.Builder ruxsat etilgan ilovalar ro‘yxati va taqiqlangan ilovalar ro‘yxatini ikki alohida model sifatida taqdim etadi, ilova bo‘yicha qoidalar esa manzil bo‘yicha emas, paket bo‘yicha tanlaydi. Bunday ro‘yxatga qo‘yilgan brauzer ochadigan har bir manzilni o‘zi bilan olib yuradi, bu marshrutlar jadvalidan boshqacha aniqlik va ishlab turgan ilova ichidagi bitta buzilgan saytni ham tuzata olmaydi.
Ish stoli mijozlari odatda ikki turni bitta interfeysda aralashtiradi, shuning uchun qo‘shayotgan satringiz paketmi, xost nomimi yoki prefiksmi tekshiring. Ular turlicha ishdan chiqadi va turli joylarda hal qilinadi. Xost nomi satri odatda marshrut va nomga aylanadi, paket satri esa mijoz ichidagi siyosat qaroriga aylanadi. Qaysinisini qo‘shganingizni yozib qo‘ying, chunki keyin xatoni tuzatuvchi odam ikkinchisini deb o‘ylaydi.
Faqat silliq yo‘lni emas, nosozlik holatini ham sinang
Tunneldan chiqarib tashlangan ilova avtomatik ravishda toza to‘g‘ridan-to‘g‘ri kirishga ega bo‘lmaydi. Agar mijoz VPNsiz bloklash qoidasini ham qo‘llasa, chiqarilgan trafik butunlay tashlab yuborilishi mumkin, va bu marshrutlash qarori emas, buzilgan ilova kabi ko‘rinadi. O‘sha holatni foydalanuvchi shikoyatidan bilish o‘rniga ataylab sinab ko‘ring.
So‘ng DNS va IPv6 ni alohida bandlar sifatida tekshiring. Faqat IPv4 tashiydigan tunnel v6 qobiliyatli ilovaga aylanib o‘tish yo‘lini qoldiradi, split DNS esa tunneldan umuman o‘tmaydigan trafik uchun ichki nomlar hal bo‘ladimi-yo‘qmi shuni belgilaydi. Ro‘yxatdagi ilovani, ro‘yxatda yo‘q ilovani, bitta nom qidiruvini va bitta qayta ulanishni ishga tushiring, natijalarni konfiguratsiya bilan birga saqlang.
Standartni keyingi odam topadigan joyga yozing
Tanlangan standartni, istisnolarni va ularning egasini mijoz profili turgan joyga yozib qo‘ying, chunki keyingi administrator bu asosni o‘qimay turib yozuv qo‘shadi. Sanani va har bir istisnoning sababini belgilang, shunda keyinchalik tuzatilgan sayt uchun eskirgan chiqarib tashlash ishonch bilan olib tashlanadi. Sababsiz ro‘yxat cheksiz o‘sadi.
Kimdir bitta buzilgan manzil haqida xabar bersa, asosni emas, istisnoni o‘zgartiring. Bitta saytni tuzatish uchun standartni ag‘darish ro‘yxatda yo‘q har bir ilovani jimgina tunnelning narigi tomoniga ko‘chiradi.