Раздельное туннелирование — это концепция компьютерных сетей , которая позволяет пользователю получать доступ к разным доменам безопасности , таким как публичная сеть (например, Интернет) и локальная сеть или глобальная сеть одновременно, используя одни и те же или разные сетевые подключения. Это состояние подключения обычно обеспечивается за счет одновременного использования контроллера сетевого интерфейса локальной сети (NIC), радиоадаптера, сетевого адаптера беспроводной локальной сети (WLAN) и программного обеспечения VPN- клиента без преимуществ контроля доступа .
Например, предположим, что пользователь использует клиент программного обеспечения VPN для удаленного доступа , подключаясь к сети кампуса с помощью беспроводной сети отеля . Пользователь с включенным раздельным туннелированием может подключаться к файловым серверам , серверам баз данных , почтовым серверам и другим серверам в корпоративной сети через VPN-подключение. Когда пользователь подключается к интернет-ресурсам ( веб-сайтам , FTP- сайтам и т. д.), запрос на подключение напрямую выходит из шлюза, предоставляемого сетью отеля. Однако не все VPN поддерживают раздельное туннелирование. Некоторые VPN с раздельным туннелированием включают Private Internet Access (PIA), ExpressVPN , Surfshark и NordVPN [1]
Раздельное туннелирование иногда классифицируется на основе того, как оно настроено. Раздельный туннель, настроенный только на туннелирование трафика, предназначенного для определенного набора пунктов назначения, называется туннелем split-include . Когда он настроен на прием всего трафика, кроме трафика, предназначенного для определенного набора пунктов назначения, он называется туннелем split-exclude . [2] [3] [4]
Одним из преимуществ использования раздельного туннелирования является то, что оно устраняет узкие места и экономит полосу пропускания , поскольку интернет-трафику не приходится проходить через VPN-сервер.
Другое преимущество возникает в случае, когда пользователь работает на сайте поставщика или партнера и ему необходим доступ к сетевым ресурсам в обеих сетях. Раздельное туннелирование избавляет пользователя от необходимости постоянно подключаться и отключаться.
Недостатком является то, что при включении раздельного туннелирования пользователи обходят безопасность на уровне шлюза, которая может быть реализована в инфраструктуре компании. [5] Например, если используется веб-фильтрация или фильтрация контента , это обычно контролируется на уровне шлюза, а не клиентского ПК.
Интернет-провайдеры , реализующие перехват DNS, нарушают разрешение имен частных адресов с помощью разделенного туннеля.
Вариант этого разделенного туннелирования называется «обратным» разделенным туннелированием. По умолчанию все датаграммы входят в туннель, за исключением тех IP-адресов назначения, которые явно разрешены шлюзом VPN. Критерии, разрешающие датаграммам выходить из локального сетевого интерфейса (за пределы туннеля), могут различаться у разных поставщиков (например, порт, служба и т. д.). Это позволяет сохранять контроль над сетевыми шлюзами на централизованном устройстве политики, таком как терминатор VPN. Это может быть дополнено технологиями принудительного применения политики конечной точки, такими как межсетевой экран интерфейса на драйвере сетевого интерфейса конечного устройства, объект групповой политики или агент защиты от вредоносных программ . Это во многом связано с контролем доступа к сети (NAC). [6]
Форма раздельного туннелирования, которая выводит IP-адреса для включения/исключения во время выполнения на основе списка правил/политик имен хостов . [Динамическое раздельное туннелирование] (DST) [7]
Внутренний контент IPv6 может размещаться и предоставляться сайтам через уникальный диапазон локальных адресов на уровне VPN, в то время как доступ к внешнему контенту IPv4 и IPv6 может осуществляться через маршрутизаторы сайта.
