Izuzeće za kućni LAN preko VPN-a na Androidu: priručnik za jednu uslugu

Želite da jedna kućna usluga bude dostupna dok VPN ostaje na snazi za sve ostalo. Primamljiva postavka je izuzeće lokalne rute koje pokriva svaku privatnu adresu, i to je pogrešna kontrola: na sljedećoj hotelskoj ili kafićnoj mreži može pretvoriti sve što odgovori u zaobilaznicu. Ovaj priručnik svodi izuzeće na jednu uslugu i dokazuje ga pod prijelazima koji ga lome.

Definirajte izuzeće kao uslugu, ne kao podmrežu

Zabilježite aplikaciju, ime hosta i adresu odredišta, protokol i port, mrežu u kojoj je dopušteno te provjeru identiteta koju sama usluga izvodi. Za NAS s autentifikacijom certifikat ili račun dokazuje da ste stigli na pravu mašinu. Adresa u 192.168.0.0/16 ne dokazuje ništa, jer svaki kućni ruter dijeli iste prefikse.

Odredite i šta znači blizu. Usluga na rutiranom VLAN-u nije na podmreži na koju je telefon izravno povezan, a gostujući Wi-Fi može dijeliti isti privatni prefiks s domom i pritom biti posve druga mašina. Izuzeće treba imenovati uslugu i okruženje, ne samo raspon adresa.

Provjerite odgovara li kontrola platforme zahtjevu

Androidov graditelj IKEv2 profila izlaže setLocalRoutesExcluded(true), a njegova dokumentacija zahtijeva VPN koji se može zaobići: izuzeće ima smisla samo kada klijent dopušta prometu da zaobiđe tunel. Ista dokumentacija upozorava da temeljna mreža može dostaviti rute koje utječu na izuzeće, zato postavka slijedi mrežu kojoj se pridružujete, a ne mrežu kojoj vjerujete.

To također nije obećanje da će svako zaključavanje ili upravljana konfiguracija dopustiti korisniku da uključi isto izuzeće. Izuzeće rute, zastavica zaobilaznosti i politika blokiranja uređaja odvojene su kontrole, a upravljani uređaj može zabraniti treću dok dopušta prve dvije. Provjerite instalirani profil i politiku upravljanja prije nego što dizajnirate oko kvadratića.

Priručnik: izgradite i primijenite izuzeće

Korak 1: izradite profil podržanim putem za implementaciju, bilo upravljanu konfiguraciju bilo graditelja klijenta. Korak 2: označite VPN kao zaobilazan, jer izuzeće lokalne rute bez toga ne djeluje. Korak 3: uključite izuzeće lokalne rute. Korak 4: zadržite vlastitu autentifikaciju usluge i provjeru certifikata uključenima; izuzeće se tiče usmjeravanja, ne povjerenja. Korak 5: spremite i ponovno se povežite da bi se profil primijenio.

Vraćanje je isti put obrnutim redom: očistite izuzeće, zatim očistite zaobilaznost, zatim se ponovno povežite. Ne krpajte rutu ni kuku vatrozida izravno na uređaju. Mrežni daemon posjeduje ta pravila, a ručno pravilo može propustiti drugu porodicu adresa, ponovno povezivanje ili mrežni prijelaz. Ako instalirana konfiguracija ne može izraziti politiku, zadržite strožu blokadu dok vlasnik ne odobri drugi dizajn.

Testirajte četiri važna slučaja

Koristite bezopasne zahtjeve i zapišite očekivani rezultat prije pokretanja svakog slučaja. Matrica ispod je prihvatni test, ne prijedlog: ako bilo koji zabranjeni slučaj uspije, izuzeće je šire od politike.

Slučaj 3 hvata široku zaobilaznicu privatne podmreže, a slučaj 4 hvata klijent koji je izuzeće primijenio samo pri povezivanju. Pokrenite slučaj 4 s isključenim VPN-om i s telefonom prebačenim na mobilnu mrežu, zatim se ponovno povežite i potvrdite da se izuzeće vraća bez restarta. Referenca API-ja lokalne rute navodi zahtjev zaobilaznosti koji korak 2 čini obaveznim.

Zabilježite izuzeće i pregledajte ga

Održavani zapis treba imenovati uslugu, okruženje koje ga je opravdalo, vlasnika i datum. Lokalno opisuje odnos usmjeravanja, ne razinu povjerenja, a sljedeća mreža kojoj se telefon pridruži nije mreža u kojoj je izuzeće odobreno.

Pregledajte zapis nakon ažuriranja OS-a, ažuriranja klijenta ili preseljenja. Ponovno pokrenite slučaj 3 kad god se izuzeće obnovi, jer profil koji je jednom sveo zaobilaznicu na jednu uslugu može biti proširen jednom promjenom zadane vrijednosti.