Výjimka VPN pro domácí LAN na Androidu: runbook pro jednu službu

Chcete jednu domácí službu dostupnou, zatímco VPN zůstává v platnosti pro všechno ostatní. Lákavé nastavení je výjimka lokální trasy pokrývající každou privátní adresu, a to je špatná kontrola: v příští síti hotelu nebo kavárny může proměnit cokoli, co odpoví, v obchvat. Tento runbook omezuje výjimku na jednu službu a prokazuje ji při přechodech, které ji lámou.

Definujte výjimku jako službu, ne jako podsíť

Zaznamenejte aplikaci, název hostitele a adresu cíle, protokol a port, síť, kde je to povoleno, a kontrolu identity, kterou provádí sama služba. U NAS s autentizací dokazuje správný stroj certifikát nebo účet. Adresa v 192.168.0.0/16 nedokazuje nic, protože každý domácí router rozdává stejné prefixy.

Rozhodněte také, co znamená blízko. Služba v routované VLAN není v podsíti přímo připojené k telefonu a hostovské Wi-Fi může sdílet stejný privátní prefix jako domov, přitom být zcela jiný stroj. Výjimka má pojmenovat službu a prostředí, ne jen rozsah adres.

Ověřte, že ovládací prvek platformy odpovídá požadavku

Tvůrce profilů IKEv2 v Androidu zpřístupňuje setLocalRoutesExcluded(true) a jeho dokumentace vyžaduje VPN, kterou lze obejít: výjimka má smysl jen tehdy, když klient nechá provoz obejít tunel. Stejná dokumentace varuje, že podkladová síť může dodat trasy ovlivňující výjimku, proto nastavení sleduje síť, ke které se připojujete, ne síť, které důvěřujete.

Není to ani příslib, že každé uzamčení nebo spravovaná konfigurace dovolí uživateli zapnout stejnou výjimku. Výjimka trasy, příznak obejitelnosti a zásada blokování zařízení jsou oddělené kontroly a spravované zařízení může třetí zakázat, zatímco první dvě povolí. Před návrhem kolem zaškrtávacího pole zkontrolujte nainstalovaný profil a zásadu správy.

Runbook: sestavte a použijte výjimku

Krok 1: vytvořte profil podporovanou cestou pro nasazení, buď spravovanou konfiguraci, nebo tvůrce klienta. Krok 2: označte VPN jako obejitelnou, protože výjimka lokální trasy bez toho nefunguje. Krok 3: zapněte výjimku lokální trasy. Krok 4: ponechte vlastní autentizaci služby a ověřování certifikátu zapnuté; výjimka je o směrování, ne o důvěře. Krok 5: uložte a znovu se připojte, aby se profil použil.

Vrácení je stejná cesta opačně: vymažte výjimku, pak vymažte obejitelnost, pak se znovu připojte. Nezáplatujte trasu ani hák firewallu přímo na zařízení. Síťový daemon tato pravidla vlastní a ruční pravidlo může minout jinou rodinu adres, opětovné připojení nebo síťový přechod. Pokud nainstalovaná konfigurace nemůže zásadu vyjádřit, ponechte přísnější blokování, dokud vlastník neschválí jiný návrh.

Otestujte čtyři případy, na kterých záleží

Použijte neškodné požadavky a před spuštěním každého případu zapište očekávaný výsledek. Matice níže je akceptační test, ne návrh: pokud některý zakázaný případ uspěje, výjimka je širší než zásada.

Případ 3 zachytí široký obchvat privátní podsítě a případ 4 zachytí klienta, který výjimku použil jen při připojení. Spusťte případ 4 s odpojenou VPN a s telefonem přesunutým na mobilní síť, pak se znovu připojte a potvrďte, že se výjimka vrací bez restartu. Reference API lokální trasy uvádí požadavek obejitelnosti, který činí krok 2 povinným.

Zaznamenejte výjimku a revidujte ji

Udržovaný záznam má pojmenovat službu, prostředí, které ji ospravedlnilo, vlastníka a datum. Lokální popisuje vztah směrování, ne úroveň důvěry, a další síť, ke které se telefon připojí, není síť, kde byla výjimka schválena.

Záznam revidujte po aktualizaci OS, aktualizaci klienta nebo stěhování. Při každém obnovení výjimky znovu spusťte případ 3, protože profil, který kdysi omezil obchvat na jednu službu, lze jedinou změnou výchozího nastavení rozšířit.