Excepció de VPN per a la LAN de casa a Android: guia per a un sol servei
Excloeu només el servei de casa que heu aprovat, no totes les rutes privades. Escriviu la política, feu servir una VPN que es pugui eludir i després proveu la fallada de la xarxa de convidats.
Voleu que un servei de casa sigui accessible mentre la VPN continua vigent per a tota la resta. El paràmetre temptador és una excepció de ruta local que cobreix cada adreça privada, i aquest és el control equivocat: en la propera xarxa d’hotel o de cafè pot convertir qualsevol cosa que respongui en una via d’elusió. Aquesta guia limita l’excepció a un sol servei i la demostra sota les transicions que la trenquen.
Definiu l’excepció com a servei, no com a subxarxa
Anoteu l’aplicació, el nom d’amfitrió i l’adreça de destinació, el protocol i el port, la xarxa on es permet i la comprovació d’identitat que fa el mateix servei. En un NAS amb autenticació, el certificat o el compte és el que demostra que heu arribat a la màquina correcta. Una adreça a 192.168.0.0/16 no demostra res, perquè cada router de casa reparteix els mateixos prefixos.
Decidiu també què vol dir a prop. Un servei en una VLAN encaminada no és a la subxarxa connectada directament al telèfon, i un Wi-Fi de convidats pot compartir el mateix prefix privat que la casa i ser una màquina completament diferent. L’excepció ha de nomenar el servei i l’entorn, no només el rang d’adreces.
Confirmeu que el control de la plataforma encaixa amb el requisit
El constructor de perfils IKEv2 d’Android exposa setLocalRoutesExcluded(true), i la seva documentació exigeix una VPN que es pugui eludir: l’excepció només té sentit quan el client permet que el trànsit eviti el túnel. La mateixa documentació adverteix que la xarxa subjacent pot proporcionar rutes que afecten l’excepció, i per això el paràmetre segueix la xarxa a la qual us uniu, no la xarxa en què confieu.
Tampoc no és una promesa que cada bloqueig o configuració gestionada deixi l’usuari activar la mateixa excepció. L’excepció de ruta, el senyal d’eludibilitat i la política de bloqueig del dispositiu són controls separats, i un dispositiu gestionat pot prohibir el tercer mentre permet els dos primers. Comproveu el perfil instal·lat i la política de gestió abans de dissenyar al voltant d’una casella.
Guia: construïu i apliqueu l’excepció
Pas 1: creeu el perfil pel camí suportat per al desplegament, o la configuració gestionada o el constructor de client. Pas 2: marqueu la VPN com a eludible, perquè l’excepció de ruta local no és efectiva sense això. Pas 3: activeu l’excepció de ruta local. Pas 4: manteniu activades l’autenticació pròpia del servei i la validació del certificat; l’excepció tracta d’encaminament, no de confiança. Pas 5: deseu i torneu a connectar perquè s’apliqui el perfil.
La reversió és el mateix camí a l’inrevés: netegeu l’excepció, després netegeu l’eludibilitat i després torneu a connectar. No patchueu una ruta ni un ganxo de tallafocs directament al dispositiu. El dimoni de xarxa posseeix aquestes regles, i una regla manual pot passar per alt una altra família d’adreces, una reconnexió o una transició de xarxa. Si la configuració instal·lada no pot expressar la política, manteniu el bloqueig més estricte fins que el propietari aprovi un altre disseny.
Proveu els quatre casos que importen
Feu servir peticions innòcues i anoteu el resultat esperat abans d’executar cada cas. La matriu de sota és la prova d’acceptació, no un suggeriment: si qualsevol cas denegat té èxit, l’excepció és més àmplia que la política.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
El cas 3 és el que atrapa una elusió àmplia de subxarxa privada, i el cas 4 atrapa un client que només va aplicar l’excepció en connectar. Executeu el cas 4 amb la VPN desconnectada i amb el telèfon passat a la xarxa mòbil, torneu a connectar i confirmeu que l’excepció torna sense reiniciar. La referència de l’API de ruta local indica el requisit d’eludibilitat que fa que el pas 2 no sigui opcional.
Registreu l’excepció i reviseu-la
El registre mantingut ha de nomenar el servei, l’entorn que el va justificar, el propietari i la data. Local descriu una relació d’encaminament, no un nivell de confiança, i la propera xarxa a què s’uneixi el telèfon no és la xarxa on es va aprovar l’excepció.
Reviseu el registre després d’una actualització del sistema, una actualització del client o un trasllat. Torneu a executar el cas 3 sempre que es renovi l’excepció, perquè un perfil que un cop va limitar l’elusió a un servei es pot ampliar amb un sol canvi per defecte.