Només inclusió o només exclusió: quina opció per defecte?
Tria el valor per defecte abans de construir la llista: tunelitza només el que anomenes, o tunelitza-ho tot i retalla les excepcions. Després prova l'aplicació que ningú no havia afegit.
Obre la secció d'encaminament del teu client VPN i veuràs dos controls de forma diferent que sovint porten la mateixa etiqueta. Un et demana que llistis les destinacions que pertanyen al túnel, i tota la resta continua utilitzant la xarxa local. L'altre dona per fet que tot passa pel túnel i pregunta què cal retallar. Tots dos et donen un túnel funcional a la primera prova, i tots dos es mantenen afegint línies a una llista, i per això la diferència continua sent invisible fins que algú instal·la alguna cosa nova.
L'elecció és un valor per defecte, no una funcionalitat. Decideix-la abans que la llista tingui vint entrades.
Llegeix el valor per defecte al client, no al fullet
WireGuard fa la decisió inusualment visible, perquè AllowedIPs és una llista d'inclusió i res més. Un parell amb 0.0.0.0/0, ::/0 tunelitza-ho tot; un parell amb 10.20.0.0/16 només tunelitza això. No hi ha sintaxi d'exclusió, així que per deixar fora una subxarxa has d'enumerar tots els altres prefixos o afegir encaminament per polítiques fora de la interfície.
OpenVPN arriba al mateix punt des de l'altre costat, amb redirect-gateway def1 instal·lant un túnel complet i directrius route explícites que afegeixen o sobreescriuen prefixos concrets. Els clients comercials solen amagar tots dos darrere d'una casella de selecció i una taula de destinacions, així que llegeix quina de les dues edita realment la taula abans de fiar-te de l'etiqueta.
La pregunta no és com es diu la casella de selecció. La pregunta és què passa amb un paquet la destinació del qual no apareix en cap de les dues llistes. Respon-ho per escrit, i la resta de la configuració se'n deriva. Si t'estalvies la pregunta, el primer error inexplicat el decidirà qui aquell dia sigui més a prop del client.
Segueix una aplicació que ningú no va afegir
En un disseny de només inclusió aquesta aplicació va directa, per la xarxa local, amb el DNS local. En un disseny de només exclusió passa pel túnel, segons el que permeti el servidor, i sovint aquesta és la diferència entre una eina SaaS nova que funciona el primer dia i un tiquet que diu que la VPN l'ha trencada.
Cap dels dos valors no és més segur per si sol. La inclusió restringeix què transporta el túnel i fa de la xarxa local el camí de menor resistència; l'exclusió pren el túnel com a camí normal i tracta les excepcions com a excepcions, cosa que s'acosta més a el que la majoria de les polítiques corporatives volen dir de debò.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Fixa't en quin tipus d'objecte llista la plataforma
El VpnService.Builder de l'Android exposa una llista d'aplicacions permeses i una llista d'aplicacions prohibides com dos models separats, i les regles per aplicació trien per paquet en lloc de per destinació. Un navegador posat en una llista així arrossega cada destinació que obre, cosa que és una granularitat diferent d'una taula d'encaminament i no pot arreglar un sol lloc trencat dins d'una aplicació que funciona.
Els clients d'escriptori solen barrejar els dos tipus en una sola interfície, així que comprova si la fila que afegeixes és un paquet, un nom d'amfitrió o un prefix. Fallen de maneres diferents i es resolen en llocs diferents. Una fila de nom d'amfitrió es converteix normalment en una ruta més un nom, mentre que una fila de paquet es converteix en una decisió de política dins del client. Anota quina de les dues has afegit, perquè qui depuri més tard donarà per fet l'altra.
Prova l'estat de fallada, no només el camí feliç
Una aplicació exclosa del túnel no obté automàticament un accés directe net. Si el client també aplica una regla que bloqueja sense VPN, el trànsit exclòs es pot descartar del tot, cosa que sembla una aplicació trencada més que una decisió d'encaminament. Prova aquest cas expressament en lloc de descobrir-lo per l'informe d'un usuari.
Després revisa el DNS i l'IPv6 com a punts separats. Un túnel que només transporta IPv4 deixa a una aplicació capaç de v6 un camí per rodejar-lo, i el DNS dividit decideix si els noms interns es resolen per a trànsit que no passa gens pel túnel. Executa una aplicació llistada, una de no llistada, una consulta de nom i una reconnexió, i desa els resultats amb la configuració.
Escriu el valor per defecte on el trobi la persona següent
Deixa constància del valor triat, de les excepcions i de qui n'és responsable al mateix lloc que el perfil del client, perquè el proper administrador afegirà una entrada sense llegir aquest raonament. Anota la data i el motiu de cada excepció, perquè una excepció obsoleta d'un lloc ja arreglat es pugui retirar amb confiança. Una llista sense motius creix per sempre.
Quan algú informa d'una sola destinació trencada, canvia l'excepció i no la base. Girar el valor per defecte per arreglar un sol lloc mou en silenci cada aplicació no llistada a l'altre costat del túnel.