Изключение за домашна LAN през VPN на Android: план за една услуга
Изключете само одобрената от вас домашна услуга, а не всички частни маршрути. Напишете политиката, използвайте VPN с възможност за заобикаляне и после тествайте отказа в госта мрежа.
Искате една домашна услуга да е достъпна, докато VPN остава в сила за всичко останало. Примамливата настройка е изключение на локален маршрут, което покрива всеки частен адрес, и това е грешната мярка: в следващата хотелска или кафенска мрежа то може да превърне всеки отговор в обход. Този план ограничава изключението до една услуга и го доказва при преходите, които го чупят.
Дефинирайте изключението като услуга, не като подмрежа
Запишете приложението, името на хоста и адреса на местоназначението, протокола и порта, мрежата, в която е разрешено, и проверката на самоличността, която самата услуга извършва. За NAS с удостоверяване сертификатът или акаунтът доказва, че сте стигнали до правилната машина. Адрес в 192.168.0.0/16 не доказва нищо, защото всеки домашен рутер раздава същите префикси.
Решете също какво значи наблизо. Услуга в маршрутизиран VLAN не е в подмрежата, пряко свързана с телефона, а госта Wi-Fi може да споделя същия частен префикс с дома, но да е напълно различна машина. Изключението трябва да назове услугата и средата, не само диапазона от адреси.
Потвърдете, че контролът на платформата отговаря на изискването
Конструкторът на IKEv2 профили в Android предоставя setLocalRoutesExcluded(true), а документацията му изисква VPN с възможност за заобикаляне: изключението има смисъл само когато клиентът позволява на трафика да заобиколи тунела. Същата документация предупреждава, че базовата мрежа може да достави маршрути, които влияят на изключението, затова настройката следва мрежата, към която се присъединявате, а не мрежата, на която вярвате.
Това също не е обещание, че всяка блокировка или управлявана конфигурация ще позволи на потребителя да включи същото изключение. Изключение на маршрут, флагът за заобикаляне и политиката за блокиране на устройството са отделни контроли и управлявано устройство може да забрани третата, докато разрешава първите две. Проверете инсталирания профил и политиката за управление, преди да проектирате около отметка.
План: изградете и приложете изключението
Стъпка 1: създайте профила по поддържания път за внедряване, управляваната конфигурация или конструктора на клиента. Стъпка 2: маркирайте VPN като такъв с възможност за заобикаляне, защото изключението на локален маршрут не работи без него. Стъпка 3: включете изключението на локален маршрут. Стъпка 4: оставете собственото удостоверяване на услугата и проверката на сертификата включени; изключението е за маршрутизиране, не за доверие. Стъпка 5: запазете и се свържете отново, за да се приложи профилът.
Откатът е същият път в обратен ред: изчистете изключението, после изчистете възможността за заобикаляне, после се свържете отново. Не поправяйте маршрут или кука на защитна стена директно на устройството. Мрежовият демон притежава тези правила и ръчно правило може да пропусне друго семейство адреси, повторно свързване или мрежов преход. Ако инсталираната конфигурация не може да изрази политиката, задръжте по-строгата блокировка, докато собственикът одобри друг дизайн.
Тествайте четирите важни случая
Използвайте безвредни заявки и запишете очаквания резултат, преди да стартирате всеки случай. Матрицата по-долу е приемателен тест, не предложение: ако някой забранен случай успее, изключението е по-широко от политиката.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
Случай 3 е този, който хваща широк обход на частна подмрежа, а случай 4 хваща клиент, приложил изключението само при свързване. Стартирайте случай 4 с изключен VPN и с телефон, преместен на мобилна мрежа, после се свържете отново и потвърдете, че изключението се връща без рестарт. Справката за API на локалния маршрут посочва изискването за заобикаляне, което прави стъпка 2 задължителна.
Запишете изключението и го преглеждайте
Поддържаният запис трябва да назове услугата, средата, която го оправдава, собственика и датата. Локално описва връзка за маршрутизиране, не ниво на доверие, и следващата мрежа, към която се присъедини телефонът, не е мрежата, в която изключението е одобрено.
Преглеждайте записа след актуализация на ОС, актуализация на клиента или преместване. Пускайте случай 3 отново при всяко подновяване на изключението, защото профил, който веднъж е ограничил обхода до една услуга, може да бъде разширен с една промяна по подразбиране.