Shaxsiy marshrutlarni saqlang va qayta yo'naltirishni tashlab yuboring: OpenVPN bo'lingan tuneli
Faqat shaxsiy tarmoqlar uchun tunel ikkita qoidani talab qiladi: shaxsiy prefikslar u orqali o'tadi, oddiy ko'rish o'z mahalliy yo'lini saqlaydi. Standart marshrutni o'chirish siyosat emas.
Tunel ko'tariladi, ilova yuklanadi, keyin noutbukdagi qolgan hamma narsa g'alati harakat qila boshlaydi. Bu bitta qatorni o'chirish bilan amalga oshirilgan faqat shaxsiy siyosatning odatiy ko'rinishi. Itarib yuborilgan standart marshrutni olib tashlash trafik qayerga ketishini haqiqatan o'zgartiradi, lekin trafik uning o'rniga qayerga borishi kerakligini aytmaydi va nomlarni hal qilishga umuman tegmaydi. Siyosatni sinashdan oldin uning ikkita ijobiy yarmi bo'lishi kerak.
Qayta yo'naltirishni o'chirish o'zgarishning yarmi xolos
To'liq tunelni qayta yo'naltirish va faqat shaxsiy siyosat dunyo haqida nima da'vo qilishlari bilan farq qiladi. Qayta yo'naltirish har bir manzilni da'vo qiladi, shaxsiy siyosat esa ro'yxatni da'vo qiladi va qolganini tinch qo'yadi. Ro'yxatni yozmasdan da'voni o'chirish mahalliy tarmoqdan tashqarida hech qayerga yetib bormaydigan mijoz yaratadi, bu esa siyosatdagi bo'shliqdan ko'ra marshrutlash nosozligiga o'xshaydi. Da'voni olib tashlashdan oldin ro'yxatni yozing, shunda bu ikki qadamning tartibi ahamiyatli bo'lmay qoladi.
Ikkala yarm ham standart emas, talabdir. Shaxsiy prefikslar tunelga kirishi kerak, oddiy manzillar esa ulanishdan oldingi yo'lni saqlashi kerak.
Agar tashkilot to'liq tunelni majburiy qilsa, bularning hech biri qo'llanilmaydi. Faqat shaxsiy dizayn bo'lingan marshrutlash tasdiqlangan joylashtirishlarga tegishli.
pull-filter bu moslik, kalit emas
pull-filter ko'rsatmasi nomlari prefiksga mos keladigan itarilgan variantlarni olib tashlaydi va bu uning qiladigan hamma ishi. Qayta yo'naltirishni e'tiborsiz qoldirish har bir boshqa itarilgan variantni joyida qoldiradi, bu odatda siz xohlagan narsa: marshrutlar, DNS sozlamalari va marshrut shlyuzi qiymati baribir keladi. U mahalliy profilda yozilgan ko'rsatmani ham olib tashlay olmaydi, chunki filtrlash server itarib yuboradigan narsaga taalluqli.
route bilan boshlanadigan har bir variantni e'tiborsiz qoldirish vasvasasiga qarshi turing. Bu naqsh ulanishga kerak bo'lgan shaxsiy marshrutlarni ham tashlab yuboradi va tunel bog'liq bo'lgan shlyuz ma'lumotlarini yo'qotishi mumkin.
route-nopull ko'rinadiganidan kengroq qaror. U mijozning itarilgan marshrutlar va DHCP uslubidagi variantlarni guruh sifatida qabul qilishini to'xtatadi, bu esa bitta variantni filtrlashdan boshqa siyosat.
Marshrutlar ro'yxatini ilovadan tashqariga qarab yozing
Foydalanuvchi haqiqatan ochadigan narsadan boshlang, keyin qo'llab-quvvatlovchi qismlarni qo'shing. 10.60.20.15 manzilidagi ilova o'z quyi tarmog'ini 10.60.0.0/16 nazarda tutadi, shaxsiy nom esa unga javob beradigan hal qiluvchini nazarda tutadi. Shuning uchun bitta ilova so'ragan foydalanuvchiga ikkita manzil va bitta DNS qarori kerak. O'sha ro'yxatdan tashqaridagi hamma narsa tuzilishi bo'yicha doyradan tashqarida va aynan shu siyosatni ko'rib chiqiladigan qilib turadi.
Hamkorlik qiladigan serverda ular ikkita itarilgan marshrutga aylanadi va ularning hech biri qayta yo'naltirish emas. Mavjud xizmat taqdim etadigan tunel topologiyasi va marshrut shlyuzi qiymatlarini saqlang.
Bu siyosat faqat ba'zi foydalanuvchilarga kerak bo'lsa, uni har bir mijoz yoki guruh uchun qo'llang. Bir jamoaning talabini tuzatish uchun hammaning marshrutlashini o'zgartirish bo'lingan tunelni uzilishga aylantiradigan yo'ldir.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
DNS ham xuddi shu yo'lni kuzatsin
Hal qiluvchiga boradigan marshrut hal qiluvchi siyosati emas. systemd-resolved mijozida mazmuniy natija shaxsiy nom fazosi uchun ichki hal qiluvchiga ishora qiladigan marshrutlash domenidir va aynan shu faqat o'sha nomlar undan foydalanishiga sabab bo'ladi. Windows mijoziga buning o'rniga o'zining nom fazosi siyosati mexanizmi kerak. Profildagi DNS server qatori ikkalasini ham o'z-o'zidan o'rnatmaydi.
Profil nima so'raganini emas, operatsion tizim nima tanlaganini tekshiring. Linuxda resolvectl status har bir ulanish uchun domen va serverni ko'rsatadi; Windowsda nom fazosi siyosati jadvali teng kuchli dalil.
Hal qiluvchini tunel orqali yetib boriladigan holda saqlang, aks holda siyosat so'rab bo'lmaydigan manzilga ishora qiladi. Tunel yetib bormaydigan hal qiluvchi manzili ishlayotgan siyosatni vaqt tugashiga aylantiradi.
Qayta ulanishda ikkala yarmni tekshiring
O'zgarishdan keyin mijozni qayta ulang va shaxsiy hamda ommaviy manzilga samarali marshrutni ko'rib chiqing. Keyin shaxsiy nom va ommaviy nomni hal qiling va har biri ko'zda tutilgan hal qiluvchidan foydalanganiga ishonch hosil qiling. Ommaviy veb-saytning yuklanishi faqat ikkinchi yarmni isbotlaydi va odatda aynan o'sha yarm tasodifan ishlaydi.
Tayyor siyosatni bitta gap bilan qayd eting: bu prefikslar va nomlar bu ulanishdan foydalanadi, qolgan hamma narsa mahalliy yo'lni kuzatadi. Keyin uni profilda saqlang, har bir kirishdan keyin adapter sozlamalarini tuzatish o'rniga.