Samo uključivanje ili samo isključivanje: koja je zadana postavka?
Odaberite zadanu postavku prije nego što izgradite popis: tunelirajte samo ono što imenujete ili tunelirajte sve i izrežite iznimke. Zatim testirajte aplikaciju koju nitko nije dodao.
Otvorite odjeljak usmjeravanja u svom VPN klijentu i vidjet ćete dva različito oblikovana upravljačka elementa koja često nose istu oznaku. Jedan vas traži da navedete odredišta koja pripadaju tunelu, a sve ostalo i dalje koristi lokalnu mrežu. Drugi pretpostavlja da sve ide kroz tunel i pita što treba izrezati natrag. Oba daju ispravan tunel već na prvom testu i oba se održavaju dodavanjem redaka na popis, zato razlika ostaje nevidljiva dok netko ne instalira nešto novo.
Izbor je zadana postavka, a ne značajka. Odredite je prije nego popis ima dvadeset unosa.
Pročitajte zadanu postavku na klijentu, a ne u brošuri
WireGuard čini odluku neobično vidljivom jer je AllowedIPs popis uključivanja i ništa drugo. Peer s 0.0.0.0/0, ::/0 tunelira sve; peer s 10.20.0.0/16 tunelira samo to. Sintaksa isključivanja ne postoji, pa ako želite jednu podmrežu ostaviti izvan, morate ili navesti sve ostale prefikse ili dodati usmjeravanje pravila izvan sučelja.
OpenVPN dolazi na isto mjesto s druge strane: redirect-gateway def1 postavlja puni tunel, a izričite direktive route dodaju ili prepisuju određene prefikse. Komercijalni klijenti oboje obično skrivaju iza potvrdnog okvira i tablice odredišta, zato pročitajte koje od to dvoje tablica zapravo uređuje prije nego povjerujete oznaci.
Pitanje nije kako se potvrdni okvir zove. Pitanje je što se događa s paketom čije odredište nije na nijednom od dvaju popisa. Odgovorite na to pisano i ostatak konfiguracije slijedi iz toga. Preskočite li pitanje, o prvom nerazjašnjenom kvaru odlučit će onaj tko taj dan sjedi najbliže klijentu.
Slijedite aplikaciju koju nitko nije dodao
U dizajnu samo s uključivanjem ta aplikacija ide izravno, preko lokalne mreže, s lokalnim DNS-om. U dizajnu samo s isključivanjem prolazi kroz tunel, koliko poslužitelj dopušta, i to je često razlika između novog SaaS alata koji radi prvog dana i zahtjeva da ga je VPN pokvario.
Nijedna od dviju zadanih postavki nije sama po sebi sigurnija. Uključivanje sužava što tunel prenosi i čini lokalnu mrežu putem najmanjeg otpora; isključivanje uzima tunel kao uobičajen put i iznimke tretira kao iznimke, što je bliže onome što većina korporativnih pravila zapravo želi reći.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Obratite pozornost koju vrstu objekta platforma navodi
Element VpnService.Builder u Androidu nudi popis dopuštenih i popis zabranjenih aplikacija kao dva odvojena modela, a pravila po aplikaciji biraju po paketu, a ne po odredištu. Preglednik na takvom popisu nosi svako odredište koje otvori, što je drugačija razina detalja od usmjerivačke tablice i ne može popraviti jedno pokvareno mjesto unutar aplikacije koja radi.
Desktop klijenti obično miješaju obje vrste u jednom sučelju, zato provjerite je li redak koji dodajete paket, naziv hosta ili prefiks. Ne uspijevaju na različite načine i rješavaju se na različitim mjestima. Redak s nazivom hosta obično postaje ruta plus naziv, dok redak s paketom postaje odluka pravila unutar klijenta. Zapišite koji ste od dvaju dodali, jer onaj tko kasnije bude otklanjao pogreške pretpostavit će onaj drugi.
Testirajte stanje kvara, ne samo sretan put
Aplikacija isključena iz tunela ne dobiva automatski čist izravan pristup. Ako klijent uz to provodi pravilo koje bez VPN-a blokira, isključeni promet može biti u potpunosti odbačen, što izgleda kao pokvarena aplikacija, a ne kao odluka usmjeravanja. Testirajte taj slučaj namjerno, umjesto da o njemu saznate iz korisničkog izvještaja.
Zatim provjerite DNS i IPv6 kao zasebne stavke. Tunel koji prenosi samo IPv4 ostavlja aplikaciji sposobnoj za v6 put oko njega, a podijeljeni DNS odlučuje hoće li se interna imena razrješavati za promet koji uopće ne ide kroz tunel. Pokrenite aplikaciju s popisa, aplikaciju koje nema na popisu, upit za naziv i jedno ponovno povezivanje, a rezultate čuvajte uz konfiguraciju.
Zapišite zadanu postavku tamo gdje će je naći sljedeća osoba
Zabilježite odabranu zadanu postavku, iznimke i kome su one na odgovornosti na isto mjesto kao profil klijenta, jer će sljedeći administrator dodati unos bez čitanja ovog obrazloženja. Zapišite datum i razlog svake iznimke, kako bi se zastarjela iznimka za stranicu koja je u međuvremenu popravljena mogla sa sigurnošću ukloniti. Popis bez razloga raste zauvijek.
Kada netko prijavi jedno pokvareno odredište, promijenite iznimku, a ne osnovnu crtu. Okretanje zadane postavke da bi se popravila jedna stranica tiho premješta svaku aplikaciju koje nema na popisu na drugu stranu tunela.