Android tuis-LAN VPN-uitsondering: ’n werkplan vir een diens

Jy wil een tuisdiens bereikbaar hê terwyl die VPN vir al die res in krag bly. Die aanloklike instelling is ’n plaaslike-roete-uitsondering wat elke private adres dek, en dit is die verkeerde beheer: op die volgende hotel- of kafee-netwerk kan dit enigiets wat antwoord in ’n omseiling verander. Hierdie werkplan beperk die uitsondering tot een diens en bewys dit onder die oorgange wat dit breek.

Definieer die uitsondering as ’n diens, nie ’n subnet nie

Teken die app, die bestemming se gasheernaam en adres, die protokol en poort, die netwerk waar dit toegelaat word, en die identiteitskontrole wat die diens self doen, aan. Vir ’n NAS met verifikasie is dit die sertifikaat of rekening wat bewys jy het die regte masjien bereik. ’n Adres in 192.168.0.0/16 bewys niks, want elke tuisroeteerder deel dieselfde voorvoegsels uit.

Bepaal ook wat naby beteken. ’n Diens op ’n geroteerde VLAN is nie op die selfoon se direk gekoppelde subnet nie, en ’n gas-Wi-Fi kan dieselfde private voorvoegsel as die huis deel terwyl dit ’n heeltemal ander masjien is. Die uitsondering moet die diens en die omgewing noem, nie net die adresreeks nie.

Bevestig dat die platformbeheer by die vereiste pas

Android se IKEv2-profielbouer bied setLocalRoutesExcluded(true), en sy dokumentasie vereis ’n VPN wat omseil kan word: die uitsondering is net betekenisvol wanneer die kliënt verkeer kan laat omseil om die tonnel. Dieselfde dokumentasie waarsku dat die onderliggende netwerk roetes kan lewer wat die uitsondering beïnvloed, daarom volg die instelling die netwerk wat jy betree, nie die netwerk wat jy vertrou nie.

Dit is ook nie ’n belofte dat elke grendel- of bestuurde konfigurasie die gebruiker dieselfde uitsondering sal laat aktiveer nie. ’n Roete-uitsondering, die omseilbaarheidvlag en die toestelblokkeringsbeleid is aparte beheermiddele, en ’n bestuurde toestel kan die derde verbied terwyl dit die eerste twee toelaat. Kontroleer die geïnstalleerde profiel en die bestuursbeleid voordat jy rondom ’n keuseblokkie ontwerp.

Werkplan: bou en pas die uitsondering toe

Stap 1: skep die profiel deur die ondersteunde pad vir die ontplooiing, óf die bestuurde konfigurasie óf die kliëntbouer. Stap 2: merk die VPN as omseilbaar, want die plaaslike-roete-uitsondering werk nie daarsonder nie. Stap 3: aktiveer plaaslike-roete-uitsondering. Stap 4: hou die diens se eie verifikasie en sertifikaatvalidering aan; die uitsondering gaan oor roetering, nie oor vertroue nie. Stap 5: stoor en herverbind sodat die profiel toegepas word.

Terugrol is dieselfde pad in omgekeerde orde: verwyder die uitsondering, verwyder dan die omseilbaarheid, en herverbind dan. Moet nie ’n roete of firewall-haak direk op die toestel pleister nie. Die netwerkdaemon besit daardie reëls, en ’n handmatige reël kan ’n ander adresfamilie, ’n herverbinding of ’n netwerkoorgang mis. As die geïnstalleerde konfigurasie die beleid nie kan uitdruk nie, hou die strenger blok totdat die eienaar ’n ander ontwerp goedkeur.

Toets die vier gevalle wat saak maak

Gebruik onskadelike versoeke en skryf die verwagte resultaat neer voordat jy elke geval uitvoer. Die matriks hieronder is die aanvaardingstoets, nie ’n voorstel nie: as enige geweierde geval slaag, is die uitsondering wyer as die beleid.

Geval 3 is die een wat ’n breë private-subnet-omseiling vang, en geval 4 vang ’n kliënt wat die uitsondering net by verbinding toegepas het. Voer geval 4 uit met die VPN ontkoppel en met die selfoon op sellulêr, herverbind dan en bevestig dat die uitsondering terugkeer sonder ’n herlaai. Die plaaslike-roete-API-verwysing noem die omseilbaarheidvereiste wat stap 2 nie-opsioneel maak.

Rekord die uitsondering en hersien dit

Die bygehoue rekord moet die diens noem, die omgewing wat dit regverdig het, die eienaar en die datum. Plaaslik beskryf ’n roeteringverhouding, nie ’n vertrouevlak nie, en die volgende netwerk wat die selfoon betree is nie die netwerk waar die uitsondering goedgekeur is nie.

Hersien die rekord ná ’n bedryfstelselopdatering, ’n kliëntopdatering of ’n skuif. Voer geval 3 weer uit wanneer die uitsondering hernu word, want ’n profiel wat die omseiling eens tot een diens beperk het, kan deur een enkele verstekverandering verbreed word.