Разделен тунел: само включване или само изключване — кое да е по подразбиране?
Изберете подразбиращото се, преди да построите списъка: тунелирайте само това, което назовете, или тунелирайте всичко и извадете изключенията. След това тествайте приложението, което никой не е вписал.
Отворете раздела за маршрутизиране във вашия VPN клиент и пред вас са два различно оформени контрола, които често носят един и същ етикет. Единият ви кара да изброите дестинациите, които принадлежат на тунела, а всичко останало продължава да използва локалната мрежа. Другият приема, че всичко минава през тунела, и пита какво да се извади обратно. И двата дават работещ тунел още при първия тест и и двата се поддържат чрез добавяне на редове в списък, затова разликата остава невидима, докато някой не инсталира нещо ново.
Това е избор на подразбиращо се, а не функция. Решете го, преди списъкът да е нараснал до двадесет записа.
Четете подразбиращото се от клиента, не от брошурата
WireGuard прави решението необичайно видимо, защото AllowedIPs е списък за включване и нищо друго. Партньор с 0.0.0.0/0, ::/0 тунелира всичко; партньор с 10.20.0.0/16 тунелира само това. Няма синтаксис за изключване, така че ако искате една подмрежа да остане навън, или изброявате всеки друг префикс, или добавяте политическа маршрутизация извън интерфейса.
OpenVPN стига до същото от обратната посока: redirect-gateway def1 поставя пълен тунел, а явните директиви route добавят или заменят конкретни префикси. Търговските клиенти обикновено крият и двете зад отметка и таблица с дестинации, затова прочетете кое от двете таблицата всъщност редактира, преди да се доверите на етикета.
Въпросът не е как се нарича отметката. Въпросът е какво се случва с пакет, чиято дестинация не се появява в нито един от двата списъка. Отговорете на това писмено и останалата част от конфигурацията следва от отговора. Пропуснете въпроса и първата необяснима повреда ще бъде решена от този, който е най-близо до клиента онази сутрин.
Проследете приложение, което никой не е вписал
При схема само с включване това приложение минава директно, по локалната мрежа, с локалния DNS. При схема само с изключване то минава през тунела, в рамките на това, което сървърът позволява, а това често е разликата между нов SaaS инструмент, който работи от първия ден, и заявка, че VPN го е счупил.
Нито едно от двете подразбиращи се не е по-сигурно само по себе си. Само включването стеснява какво носи тунелът и прави локалната мрежа път с най-малко съпротивление; само изключването приема тунела за нормален път и третира изключенията като изключения, което е по-близо до това, което повечето корпоративни политики всъщност целят.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Забележете какъв вид обект изброява платформата
В Android VpnService.Builder представя списък с разрешени приложения и списък със забранени приложения като два отделни модела, а правилата за отделно приложение избират по пакет, а не по дестинация. Браузър, поставен в такъв списък, носи всяка дестинация, която отвори, което е различна гранулярност от таблица за маршрутизация и не може да поправи един счупен сайт в работещо приложение.
Настолните клиенти обикновено смесват двата вида в един интерфейс, затова проверете дали редът, който добавяте, е пакет, име на хост или префикс. Те се провалят по различен начин и се решават на различни места. Редът с име на хост обикновено става маршрут плюс име, а редът с пакет става политическо решение вътре в клиента. Запишете кой от двата сте добавили, защото човекът, който ще го отстранява по-късно, ще предположи другия.
Тествайте състоянието на повреда, не само успешния път
Приложение, изключено от тунела, не получава автоматично чист директен достъп. Ако клиентът налага и правило за блокиране без VPN, изключеният трафик може да бъде изхвърлен напълно, което изглежда като счупено приложение, а не като решение за маршрутизиране. Тествайте този случай нарочно, вместо да го откривате от доклад на потребител.
След това проверете DNS и IPv6 като отделни точки. Тунел, който носи само IPv4, оставя на приложение с поддръжка на v6 път около него, а разделеният DNS решава дали вътрешните имена се разрешават за трафик, който изобщо не минава през тунела. Пуснете приложение от списъка, приложение извън списъка, едно търсене на име и едно повторно свързване, и пазете резултатите заедно с конфигурацията.
Запишете подразбиращото се там, където следващият ще го намери
Запишете избраното подразбиращо се, изключенията и кой ги притежава на същото място, където е профилът на клиента, защото следващият администратор ще добави запис, без да прочете това обосноваване. Отбележете датата и причината за всяко изключение, така че остаряло изключение за вече поправен сайт да може да се премахне уверено. Списък без причини расте вечно.
Когато някой съобщи за една счупена дестинация, променете изключението, а не базовата линия. Обръщането на подразбиращото се, за да поправите един сайт, тихо премества всяко приложение извън списъка от другата страна на тунела.