Выключэнне VPN для хатняй LAN на Android: інструкцыя для адной паслугі
Выключыце толькі тую хатнюю паслугу, якую вы ўхвалілі, а не ўсе прыватныя маршруты. Запішыце палітыку, выкарыстайце VPN з магчымасцю абыходу, затым праверце збой гасцявой сеткі.
Вы хочаце, каб адна хатняя паслуга была даступная, а VPN дзейнічаў для ўсяго астатняга. Спакуслівая налада — выключэнне лакальнага маршруту, якое ахоплівае ўсе прыватныя адрасы, і гэта няправільны кантроль: у наступнай сетцы гатэля ці кафэ яно можа ператварыць любы адказ у абыход. Гэтая інструкцыя абмяжоўвае выключэнне адной паслугай і даказвае гэта пры пераходах, якія яго ламаюць.
Вызначце выключэнне як паслугу, а не як падсетку
Запішыце праграму, імя хоста і адрас прызначэння, пратакол і порт, сетку, дзе гэта дазволена, і праверку асобы, якую выконвае сама паслуга. Для NAS з аўтэнтыфікацыяй менавіта сертыфікат або ўліковы запіс даказвае, што вы патрапілі на патрэбную машыну. Адрас у 192.168.0.0/16 нічога не даказвае, бо кожны хатні маршрутызатар выдае аднолькавыя прэфіксы.
Таксама вызначце, што значыць паблізу. Паслуга ў маршрутызаваным VLAN не знаходзіцца ў падсетцы, непасрэдна падключанай да тэлефона, а гасцявы Wi-Fi можа мець той жа прыватны прэфікс, што і дом, але быць цалкам іншай машынай. Выключэнне павінна называць паслугу і асяроддзе, а не толькі дыяпазон адрасоў.
Пераканайцеся, што кантроль платформы адпавядае патрабаванню
Канструктар профілю IKEv2 у Android прадастаўляе setLocalRoutesExcluded(true), і яго дакументацыя патрабуе VPN з магчымасцю абыходу: выключэнне мае сэнс толькі тады, калі кліент дазваляе трафіку абыходзіць тунель. Тая ж дакументацыя папярэджвае, што базавая сетка можа даць маршруты, якія ўплываюць на выключэнне, таму налада ідзе за сеткай, да якой вы далучаецеся, а не за сеткай, якой давяраеце.
Гэта таксама не абяцанне, што кожная блакіроўка або кіраваная канфігурацыя дазволіць карыстальніку ўключыць тое ж выключэнне. Выключэнне маршруту, сцяг магчымасці абыходу і палітыка блакіроўкі прылады — асобныя кантролі, і кіраваная прылада можа забараніць трэці, дазволіўшы першыя два. Праверце ўсталяваны профіль і палітыку кіравання, перш чым праектаваць вакол сцяжка.
Інструкцыя: стварыце і ўжыццявіце выключэнне
Крок 1: стварыце профіль праз падтрыманы шлях для разгортвання, кіраваную канфігурацыю або канструктар кліента. Крок 2: пазначце VPN як такі, што можна абысці, бо выключэнне лакальнага маршруту без гэтага не дзейнічае. Крок 3: уключыце выключэнне лакальнага маршруту. Крок 4: пакіньце ўласную аўтэнтыфікацыю паслугі і праверку сертыфіката ўключанымі; выключэнне тычыцца маршрутызацыі, а не даверу. Крок 5: захавайце і перападключыцеся, каб профіль прымяніўся.
Адкат — той самы шлях у адваротным парадку: ачысціце выключэнне, затым ачысціце магчымасць абыходу, затым перападключыцеся. Не латайце маршрут або хук файрвола непасрэдна на прыладзе. Сеткавы дэман валодае гэтымі правіламі, а ручное правіла можа прапусціць іншае сямейства адрасоў, перападключэнне або пераход сеткі. Калі ўсталяваная канфігурацыя не можа выказаць палітыку, трымайце больш строгую блакіроўку, пакуль уладальнік не ўхваліць іншы дызайн.
Праверце чатыры важныя выпадкі
Выкарыстоўвайце бяспечныя запыты і запішыце чаканы вынік перад запускам кожнага выпадку. Матрыца ніжэй — гэта прыёмачны тэст, а не прапанова: калі любы забаронены выпадак праходзіць, выключэнне шырэйшае за палітыку.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
Выпадак 3 ловіць шырокі абыход прыватнай падсеткі, а выпадак 4 ловіць кліент, які прымяніў выключэнне толькі ў момант падключэння. Запусціце выпадак 4 з адключаным VPN і з тэлефонам, пераведзеным на мабільную сетку, затым перападключыцеся і пераканайцеся, што выключэнне вяртаецца без перазагрузкі. Даведка API лакальнага маршруту паказвае патрабаванне магчымасці абыходу, якое робіць крок 2 абавязковым.
Запішыце выключэнне і пераглядзіце яго
Захаваны запіс павінен называць паслугу, асяроддзе, якое яго апраўдала, уладальніка і дату. Лакальны апісвае адносіны маршрутызацыі, а не ўзровень даверу, і наступная сетка, да якой далучыцца тэлефон, не тая сетка, дзе выключэнне было ўхвалена.
Пераглядайце запіс пасля абнаўлення АС, абнаўлення кліента або пераезду. Паўтарайце выпадак 3 пры кожным прадаўжэнні выключэння, бо профіль, які аднойчы абмежаваў абыход адной паслугай, можа быць пашыраны адной зменай па змаўчанні.