استثناء VPN للشبكة المنزلية على Android: دليل تنفيذ لخدمة واحدة
استثنِ الخدمة المنزلية التي وافقت عليها فقط، لا كل المسارات الخاصة. اكتب السياسة، واستخدم VPN قابلاً للتجاوز، ثم اختبر فشل شبكة الزوار.
تريد خدمة منزلية واحدة قابلة للوصول بينما يظل VPN ساريًا على كل شيء آخر. الإعداد المغري هو استثناء المسار المحلي الذي يغطي كل عنوان خاص، وهو الضابط الخاطئ: على شبكة الفندق أو المقهى التالية قد يحوّل أي شيء يستجيب إلى منفذ تجاوز. يحدد هذا الدليل نطاق الاستثناء على خدمة واحدة ويثبته في ظل الانتقالات التي تكسره.
عرّف الاستثناء كخدمة لا كشبكة فرعية
سجّل التطبيق، واسم المضيف والوجهة وعنوانها، والبروتوكول والمنفذ، والشبكة التي يُسمح فيها، وفحص الهوية الذي تقوم به الخدمة نفسها. في خادم NAS يعتمد على المصادقة، الشهادة أو الحساب هو ما يثبت أنك وصلت إلى الجهاز الصحيح. عنوان في 192.168.0.0/16 لا يثبت شيئًا، لأن كل راوتر منزلي يوزع البادئات نفسها.
حدد أيضًا معنى القريب. خدمة على VLAN موجّه ليست على الشبكة الفرعية المتصلة مباشرة بالهاتف، وقد تشترك شبكة Wi-Fi للزوار في البادئة الخاصة نفسها مع المنزل بينما تكون جهازًا مختلفًا تمامًا. يجب أن يسمي الاستثناء الخدمة والبيئة، لا نطاق العناوين فقط.
تأكد من ملاءمة ضابط المنصة للمتطلب
يكشف منشئ ملف تعريف IKEv2 على Android عن setLocalRoutesExcluded(true)، وتشترط وثائقه VPN قابلاً للتجاوز: لا يكون الاستثناء ذا معنى إلا عندما يسمح العميل للمرور بتجاوز النفق. تحذّر الوثائق نفسها من أن الشبكة الأساسية قد توفّر مسارات تؤثر في الاستثناء، ولهذا يتبع الإعداد الشبكة التي تنضم إليها لا الشبكة التي تثق بها.
وهو أيضًا ليس وعدًا بأن كل إعداد مقفل أو مُدار سيسمح للمستخدم بتمكين الاستثناء نفسه. استثناء المسار وعلم قابلية التجاوز وسياسة حظر الجهاز ضوابط منفصلة، وقد يمنع جهاز مُدار الثالث بينما يسمح بالأولين. تحقق من ملف التعريف المثبّت ومن سياسة الإدارة قبل التصميم حول مربع اختيار.
دليل التنفيذ: أنشئ الاستثناء وطبّقه
الخطوة 1: أنشئ ملف التعريف عبر المسار المدعوم للنشر، إما الإعداد المُدار أو منشئ العميل. الخطوة 2: علّم VPN بأنه قابل للتجاوز، لأن استثناء المسار المحلي لا يسري بدونه. الخطوة 3: مكّن استثناء المسار المحلي. الخطوة 4: أبقِ مصادقة الخدمة نفسها والتحقق من الشهادة مفعّلين؛ فالاستثناء يتعلق بالتوجيه لا بالثقة. الخطوة 5: احفظ وأعد الاتصال كي يُطبّق ملف التعريف.
التراجع هو المسار نفسه بالعكس: امسح الاستثناء، ثم امسح قابلية التجاوز، ثم أعد الاتصال. لا ترقّع مسارًا أو خطاف جدار حماية مباشرة على الجهاز. قائد الشبكة يملك تلك القواعد، وقد تفوت قاعدة يدوية عائلة عناوين أخرى أو إعادة اتصال أو انتقال شبكة. إذا لم يتمكن الإعداد المثبّت من التعبير عن السياسة، فأبقِ الحظر الأشد حتى يوافق المالك على تصميم آخر.
اختبر الحالات الأربع المهمة
استخدم طلبات غير ضارة واكتب النتيجة المتوقعة قبل تشغيل كل حالة. المصفوفة أدناه هي اختبار القبول لا اقتراح: إذا نجحت أي حالة مرفوضة، فالاستثناء أوسع من السياسة.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
الحالة 3 هي التي تكشف تجاوزًا عريضًا للشبكة الفرعية الخاصة، والحالة 4 تكشف عميلًا طبّق الاستثناء وقت الاتصال فقط. شغّل الحالة 4 مع فصل VPN ومع نقل الهاتف إلى شبكة الخلوية، ثم أعد الاتصال وتأكد من عودة الاستثناء دون إعادة تشغيل. يذكر مرجع واجهة المسار المحلي شرط قابلية التجاوز الذي يجعل الخطوة 2 غير اختيارية.
سجّل الاستثناء وراجعه
يجب أن يسمّي السجل المُحدَّث الخدمة، والبيئة التي برّرته، والمالك، والتاريخ. المحلي يصف علاقة توجيه لا مستوى ثقة، والشبكة التالية التي ينضم إليها الهاتف ليست الشبكة التي اعتُمد فيها الاستثناء.
راجع السجل بعد تحديث النظام أو تحديث العميل أو الانتقال. أعد تشغيل الحالة 3 كلما جُدّد الاستثناء، لأن ملف تعريف حصر التجاوز مرة في خدمة يمكن توسيعه بتغيير افتراضي واحد.