Jen zahrnutí, nebo jen vyloučení: která výchozí volba?
Zvolte výchozí nastavení dřív, než postavíte seznam: tunelujte jen to, co pojmenujete, nebo tunelujte vše a vyřízněte výjimky. Potom otestujte aplikaci, kterou nikdo nepřidal.
Otevřete sekci směrování ve svém VPN klientovi a uvidíte dva různě tvarované ovládací prvky, které často nesou stejný popisek. Jeden vás žádá, abyste vypsali cíle, které patří do tunelu, a vše ostatní dál používá místní síť. Druhý předpokládá, že vše jde tunelem, a ptá se, co se má vyříznout zpět. Oba dají při prvním testu funkční tunel a oba se udržují přidáváním řádků do seznamu, a proto rozdíl zůstává neviditelný, dokud někdo nenainstaluje něco nového.
Volba je výchozí nastavení, ne funkce. Rozhodněte ji dřív, než bude mít seznam dvacet položek.
Přečtěte výchozí nastavení z klienta, ne z brožury
WireGuard činí rozhodnutí nezvykle viditelným, protože AllowedIPs je seznam zahrnutí a nic jiného. Peer s 0.0.0.0/0, ::/0 tuneluje vše; peer s 10.20.0.0/16 tuneluje jen to. Syntaxe vyloučení neexistuje, takže pokud chcete jednu podsíť nechat stranou, musíte buď vypsat všechny ostatní prefixy, nebo přidat směrování zásad mimo rozhraní.
OpenVPN dochází na stejné místo z opačné strany: redirect-gateway def1 instaluje plný tunel a výslovné direktivy route přidávají nebo přepisují konkrétní prefixy. Komerční klienti obvykle obojí skrývají za zaškrtávacím polem a tabulkou cílů, takže si přečtěte, který z těch dvou tabulka skutečně upravuje, než popisku uvěříte.
Otázka není, jak se zaškrtávací pole jmenuje. Otázka je, co se stane s paketem, jehož cíl není na žádném ze dvou seznamů. Odpovězte na to písemně a zbytek konfigurace z toho vyplývá. Když otázku přeskočíte, o první nevysvětlené poruše rozhodne ten, kdo ten den sedí klientovi nejblíž.
Sledujte aplikaci, kterou nikdo nepřidal
V návrhu jen se zahrnutím jde ta aplikace přímo, přes místní síť, s místním DNS. V návrhu jen s vyloučením prochází tunelem, podle toho, co server dovolí, a to je často rozdíl mezi novým nástrojem SaaS, který funguje první den, a tiketem, že ho VPN rozbila.
Ani jedna z výchozích voleb není sama o sobě bezpečnější. Zahrnutí zužuje, co tunel nese, a dělá z místní sítě cestu nejmenšího odporu; vyloučení bere tunel jako běžnou cestu a výjimky bere jako výjimky, což je blíž tomu, co většina podnikových zásad skutečně zamýšlí.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Všimněte si, jaký druh objektu platforma vypisuje
Prvek VpnService.Builder v Androidu nabízí seznam povolených a seznam zakázaných aplikací jako dva oddělené modely a pravidla pro aplikace vybírají podle balíčku, ne podle cíle. Prohlížeč na takovém seznamu nese každý cíl, který otevře, což je jiná zrnitost než směrovací tabulka a nedokáže opravit jediný rozbitý web uvnitř fungující aplikace.
Desktopoví klienti obvykle míchají oba druhy v jednom rozhraní, takže zkontrolujte, zda přidávaný řádek je balíček, název hostitele nebo prefix. Selhávají různými způsoby a řeší se na různých místech. Řádek s názvem hostitele se obvykle stane trasou plus jménem, zatímco řádek s balíčkem se stane rozhodnutím zásad uvnitř klienta. Zapište, který ze dvou jste přidali, protože ten, kdo to bude později ladit, bude předpokládat ten druhý.
Testujte stav selhání, ne jen šťastnou cestu
Aplikace vyloučená z tunelu nedostane automaticky čistý přímý přístup. Pokud klient navíc vynucuje pravidlo, které bez VPN blokuje, může být vyloučený provoz úplně zahozen, což vypadá jako rozbitá aplikace, nikoli jako rozhodnutí směrování. Otestujte ten případ záměrně, místo abyste se o něm dozvěděli ze zprávy uživatele.
Potom zkontrolujte DNS a IPv6 jako samostatné body. Tunel, který nese jen IPv4, nechává aplikaci schopné v6 cestu kolem, a rozdělené DNS rozhoduje, zda se vnitřní jména překládají pro provoz, který vůbec tunelem nejde. Spusťte aplikaci na seznamu, aplikaci mimo seznam, dotaz na jméno a jedno opětovné připojení a výsledky uložte spolu s konfigurací.
Zapište výchozí volbu tam, kde ji najde další člověk
Zaznamenejte zvolenou výchozí volbu, výjimky a kdo za ně odpovídá na stejné místo jako profil klienta, protože další správce přidá položku, aniž by toto zdůvodnění četl. Poznamenejte datum a důvod každé výjimky, aby zastaralou výjimku pro web, který byl mezitím opraven, šlo s jistotou odstranit. Seznam bez důvodů roste navěky.
Když někdo nahlásí jediný rozbitý cíl, změňte výjimku, ne základní linii. Převrácení výchozí volby kvůli opravě jednoho webu tiše přesune každou aplikaci mimo seznam na druhou stranu tunelu.