VPN trên điện thoại về nhà: biến tường lửa thành cửa ra internet

Kết nối điện thoại với đường hầm của nhà và mở chia sẻ tệp trong LAN chứng minh đường hầm hoạt động. Nó không chứng minh các yêu cầu internet của điện thoại đi ra qua nhà. Khác biệt giữa hai kết quả này là chính sách chuyển tiếp cộng một tuyến đường, không phải một ô đánh dấu nữa trên điện thoại. Đó cũng là khác biệt mà phần lớn người ta cho rằng đã cấu hình rồi.

Ba quyết định tạo ra đường ra: điện thoại gửi gì vào đường hầm, cổng nhà chuyển tiếp nó đi đâu, và điều gì xảy ra khi không có đường hầm. Mỗi cái có một chế độ hỏng mà từ màn hình điện thoại trông giống những cái khác.

Hai bước nhảy, hai chính sách

Kết nối bên ngoài kết thúc tại bộ lắng nghe VPN của nhà. Gói bên trong là một đối tượng riêng phải được chuyển tiếp tới đâu đó, và chuyển tiếp là một quyết định tường lửa khác với việc chấp nhận đường hầm ngay từ đầu.

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

Trên một router nhà thông thường, những thứ này sống trong các bộ quy tắc khác nhau. Chấp nhận đường hầm là chính sách đầu vào trên giao diện VPN; gửi lưu lượng của điện thoại ra internet là chính sách chuyển tiếp cộng phép dịch nguồn mà uplink cần. Một router chấp nhận đường hầm mà không chuyển tiếp gì sẽ cho ra một điện thoại hiển thị đã kết nối và không tải được trang nào.

Nếu dịch vụ VPN chạy trên một máy riêng trong nhà, hãy thêm một bước nhảy. Giờ router thấy lưu lượng đến từ máy đó, nên các quy tắc của nó áp dụng cho địa chỉ của máy chủ chứ không phải địa chỉ đường hầm của điện thoại, và phép dịch nguồn có thể khiến mọi điện thoại trông như một máy chủ duy nhất.

Bộ lắng nghe không phải bộ lọc

Hãy quyết định nơi diễn ra việc thực thi trong khi thông tin bạn cần vẫn còn tồn tại. Trên router, địa chỉ đường hầm của điện thoại là hữu hình và có thể so khớp trực tiếp. Phía sau phép dịch thứ hai thì nó đã mất, và các quy tắc viết cho địa chỉ của điện thoại lặng lẽ không khớp với gì cả.

Đây là lý do thường gặp khiến một chính sách hoạt động với máy tính xách tay mà không hoạt động với điện thoại. Máy tính xách tay kết nối trực tiếp với router, điện thoại kết nối với một máy chủ chuyển tiếp qua router, và chỉ tuyến đầu tiên giữ được địa chỉ mà quy tắc mong đợi. Quy tắc không sai; nó đang so khớp với một giá trị không còn tồn tại ở điểm đó.

Hãy ghi lại tuyến đường kèm địa chỉ nguồn như nó xuất hiện ở từng điểm thực thi. Một sơ đồ đó giải quyết phần lớn những trường hợp này trước khi bất kỳ quy tắc nào bị sửa.

Điện thoại thực sự phải gửi gì

Một điện thoại chỉ nhận tuyến đường tới mạng con của nhà chỉ gửi lưu lượng của mạng con đó vào đường hầm. Mọi thứ khác đi ra qua mạng di động, đó là lý do chia sẻ tệp hoạt động và các yêu cầu internet không bao giờ tới được nhà.

Phủ toàn bộ đường hầm là một quyết định định tuyến phía máy khách, và phải được đặt bằng cơ chế mà nền tảng hỗ trợ, không phải giả định từ hồ sơ được cài. Sau khi đặt, tuyến quay lại chính máy chủ VPN phải nằm ngoài đường hầm, nếu không máy khách không thể duy trì vận chuyển của chính nó.

DNS xứng đáng có quyết định riêng, vì đó là phần dễ lệch khỏi phần còn lại của lưu lượng nhất. Địa chỉ bộ phân giải trong hồ sơ là một gợi ý mà các máy khách xử lý khác nhau, và một ứng dụng có bộ phân giải mã hóa riêng có thể đi theo một tuyến hoàn toàn tách biệt. Nếu chính sách của nhà phụ thuộc vào việc các truy vấn tới được một bộ phân giải cụ thể, hãy thực thi nó ở nơi lưu lượng thực sự đi qua, hoặc chấp nhận rằng một số truy vấn sẽ không làm vậy. Một truy vấn đi vòng qua bộ phân giải của bạn không bao giờ tới được một quy tắc viết cho nó.

IPv6 thuộc cùng đoạn với DNS, không phải phụ lục. Một đường hầm IPv4 đầy đủ không nói gì về lưu lượng AAAA, và một điện thoại trên mạng di động hai ngăn xếp sẽ vui vẻ dùng tuyến bản địa cho nó. Hãy chọn vận chuyển hay chặn một cách rõ ràng.

Tường lửa thấy được gì và không thấy được gì

Cổng có thể hành động trên những gì điểm thực thi của nó phơi ra: địa chỉ, cổng, giao thức, giao diện và siêu dữ liệu của kết nối. Một yêu cầu HTTPS được chuyển tiếp không trao thân trang hay mật khẩu chỉ vì nó đi qua đường hầm của nhà.

Ranh giới đó đáng để nói ra, vì cụm từ «đưa nó qua tường lửa» ngụ ý nhiều kiểm tra hơn mức một router nhà thực hiện. Một quy tắc đích, một chính sách DNS và một proxy tầng ứng dụng là ba biện pháp kiểm soát khác nhau với ba chi phí triển khai khác nhau.

Đừng cho rằng một tính năng được cấu hình cho máy khách LAN của nhà cũng áp dụng cho giao diện VPN. Tư cách thành viên vùng là một lựa chọn cấu hình, và một giao diện VPN không nằm trong vùng đúng sẽ không thừa hưởng bất kỳ quy tắc nào bạn đã thử từ ghế sofa.

Hãy quyết định trạng thái ngắt kết nối

Khi đường hầm không khả dụng, điện thoại hoặc quay về mạng di động hoặc từ chối gửi lưu lượng. Cả hai đều hợp lý, và chỉ một trong hai khớp với điều mà phần lớn người ta tin là đã cấu hình.

Quay lui thì tiện và rò rỉ theo định nghĩa: khoảnh khắc đường hầm sụp là khoảnh khắc các yêu cầu đi ra theo tuyến của nhà mạng. Chặn thì mạnh hơn và khiến điện thoại phụ thuộc vào việc nhà có thể tới được, đó là chi phí sẵn sàng thực sự cho người đang đi xa. Không hành vi nào là lỗi; cả hai đều là sản phẩm, và bạn đang chọn giữa chúng dù có nói ra hay không.

Hãy thử lựa chọn thay vì giả định. Dừng dịch vụ của nhà, rồi thử một yêu cầu từ trình duyệt của điện thoại và một từ ứng dụng chạy nền. Kết nối lại sau đó không hoàn tác các yêu cầu đã đi ra.

Kết thúc bằng hai kiểm tra có kiểm soát từ chính điện thoại: một thao tác được phép phải đi qua nhà, và một lần từ chối mà chính sách của nhà phải thực thi. Xác nhận rằng cổng đã ghi lại luồng bạn mong đợi, trong họ địa chỉ bạn mong đợi, sau khi kết nối lại. Một điện thoại hiển thị «Đã kết nối» là khởi đầu của việc xác minh đó, không bao giờ là kết thúc.