Net insluit of net uitsluit: watter verstek?
Kies die verstek voordat jy die lys bou: tonnel net wat jy noem, of tonnel alles en sny uitsonderings uit. Toets dan die app wat niemand gelys het nie.
Maak die roetering-afdeling van jou VPN-kliënt oop en jy kyk na twee anders gevormde kontroles wat dikwels dieselfde etiket dra. Die een vra jou om die bestemmings te lys wat in die tonnel hoort, en alles anders bly die plaaslike netwerk gebruik. Die ander aanvaar dat alles getonnel word en vra wat terug uitgehaal moet word. Albei gee jou 'n werkende tonnel by die eerste toets, en albei word onderhou deur reëls by 'n lys te voeg, en daarom bly die verskil onsigbaar tot iemand iets nuuts installeer.
Die keuse is 'n verstek, nie 'n funksie nie. Besleg dit voordat die lys twintig inskrywings het.
Lees die verstek op die kliënt, nie in die brosjure nie
WireGuard maak die besluit buitengewoon sigbaar, want AllowedIPs is 'n insluitlys en niks anders nie. 'n Peer met 0.0.0.0/0, ::/0 tonnel alles; 'n peer met 10.20.0.0/16 tonnel net dit. Daar is geen uitsluitingsintaksis nie, so as jy een subnet wil uitlaat, moet jy elke ander voorvoegsel opsom of beleidsroetering buite die koppelvlak byvoeg.
OpenVPN bereik dieselfde plek uit die ander rigting, met redirect-gateway def1 wat 'n volle tonnel installeer en eksplisiete route-riglyne wat spesifieke voorvoegsels byvoeg of oorskryf. Kommersiële kliënte versteek gewoonlik albei agter 'n merkblokkie en 'n bestemmingstabel, so lees watter een die tabel werklik wysig voordat jy die etiket vertrou.
Die vraag is nie wat die merkblokkie genoem word nie. Die vraag is wat gebeur met 'n pakket wie se bestemming in geen van die twee lyste voorkom nie. Beantwoord dit op papier, en die res van die konfigurasie volg daaruit. Wie die vraag oorslaan, laat die eerste onverklaarde fout deur die een besluit wat daardie dag die naaste aan die kliënt sit.
Volg 'n toepassing wat niemand gelys het nie
In 'n ontwerp met net insluiting gaan daardie toepassing direk, op die plaaslike netwerk, met die plaaslike DNS. In 'n ontwerp met net uitsluiting gaan dit deur die tonnel, onderhewig aan wat die bediener toelaat, en dit is dikwels die verskil tussen 'n nuwe SaaS-gereedskap wat op die eerste dag werk en 'n kaartjie wat sê die VPN het dit gebreek.
Nie een van die verstekke is op sigself veiliger nie. Insluiting vernou wat die tonnel dra en maak die plaaslike netwerk die pad van die minste weerstand; uitsluiting neem die tonnel as die normale pad en behandel uitsonderings as uitsonderings, wat nader is aan wat die meeste korporatiewe beleide werklik bedoel.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Let op watter soort objek die platform lys
Android se VpnService.Builder bied 'n lys toegelate en 'n lys verbode toepassings as twee aparte modelle, en per-app-reëls kies op pakket eerder as op bestemming. 'n Blaaier in so 'n lys dra elke bestemming wat hy oopmaak, wat 'n ander korrelrigting as 'n roetertabel is en nie een stukkende webwerf binne 'n werkende app kan regmaak nie.
Tafelrekenaarkliënte meng gewoonlik albei soorte in een koppelvlak, so kyk of die ry wat jy byvoeg 'n pakket, 'n gasheernaam of 'n voorvoegsel is. Hulle faal op verskillende maniere en hulle word op verskillende plekke opgelos. 'n Gasheernaam-ry word gewoonlik 'n roete plus 'n naam, terwyl 'n pakketry 'n beleidsbesluit binne die kliënt word. Skryf neer watter een jy bygevoeg het, want die persoon wat dit later ontfout, sal die ander een aanvaar.
Toets die fouttoestand, nie net die gelukkige pad nie
'n Toepassing wat van die tonnel uitgesluit is, kry nie outomaties skoon direkte toegang nie. As die kliënt ook 'n reël afdwing wat sonder VPN blokkeer, kan die uitgeslote verkeer heeltemal laat vaar word, wat soos 'n stukkende app lyk eerder as 'n roeteringsbesluit. Toets daardie geval doelbewus eerder as om dit uit 'n gebruiker se verslag te ontdek.
Kontroleer dan DNS en IPv6 as aparte punte. 'n Tonnel wat net IPv4 dra, laat 'n v6-bekwame toepassing 'n pad daaromheen, en split-DNS besluit of interne name opgelos word vir verkeer wat glad nie getonnel word nie. Hardloop 'n gelyste app, 'n ongelyste app, 'n naamsoektog en een herverbinding, en hou die resultate by die konfigurasie.
Skryf die verstek neer waar die volgende persoon dit sal vind
Teken die gekose verstek, die uitsonderings en wie dit besit op dieselfde plek as die kliëntprofiel aan, want die volgende administrateur sal 'n inskrywing byvoeg sonder om hierdie redenasie te lees. Noteer die datum en die rede vir elke uitsondering, sodat 'n verouderde uitsondering vir 'n webwerf wat intussen reggemaak is met vertroue verwyder kan word. 'n Lys sonder redes groei vir ewig.
Wanneer iemand een stukkende bestemming rapporteer, verander die uitsondering eerder as die basislyn. Om die verstek om te draai om een webwerf reg te maak, skuif stilweg elke ongelyste toepassing na die ander kant van die tonnel.