Cynnwys yn unig neu eithrio yn unig: pa ragosodiad?
Dewiswch y rhagosodiad cyn adeiladu'r rhestr: twnelu dim ond yr hyn a enwch, neu dwnelu popeth a thorri eithriadau allan. Yna profwch yr ap na chofnododd neb.
Agorwch adran llwybro eich cleient VPN a byddwch yn gweld dau reolydd o siâp gwahanol sy'n aml yn gwisgo'r un label. Mae un yn gofyn i chi restru'r cyrchfannau sy'n perthyn i'r twnnel, ac mae popeth arall yn parhau i ddefnyddio'r rhwydwaith lleol. Mae'r llall yn tybio bod popeth yn cael ei dwnelu ac yn gofyn beth sydd angen ei dorri allan eto. Mae'r ddau yn rhoi twnnel gweithredol i chi ar y prawf cyntaf, ac mae'r ddau yn cael eu cynnal trwy ychwanegu llinellau at restr, a dyna pam mae'r gwahaniaeth yn aros yn anweladwy nes bod rhywun yn gosod rhywbeth newydd.
Mae'r dewis yn ragosodiad, nid yn nodwedd. Setlwch ef cyn i'r rhestr gael ugain cofnod.
Darllenwch y rhagosodiad oddi ar y cleient, nid oddi ar y daflen
Mae WireGuard yn gwneud y penderfyniad yn anarferol o weladwy, oherwydd mai rhestr gynnwys yw AllowedIPs a dim arall. Mae peer gyda 0.0.0.0/0, ::/0 yn twnelu popeth; mae peer gyda 10.20.0.0/16 yn twnelu hynny yn unig. Nid oes cystrawen eithrio, felly os ydych am adael un is-rwydwaith allan rhaid naill ai rhestru pob rhagddodiad arall neu ychwanegu llwybro polisi y tu allan i'r rhyngwyneb.
OpenVPN yn cyrraedd yr un man o'r cyfeiriad arall, gyda redirect-gateway def1 yn gosod twnnel llawn a chyfarwyddiadau route penodol yn ychwanegu neu'n disodli rhagddodiadau penodol. Mae cleientiaid masnachol fel arfer yn cuddio'r ddau y tu ôl i flwch gwirio a thabl cyrchfannau, felly darllenwch pa un o'r ddau y mae'r tabl yn ei olygu mewn gwirionedd cyn i chi ymddiried yn y label.
Nid y cwestiwn yw beth yw enw'r blwch gwirio. Y cwestiwn yw beth sy'n digwydd i becyn nad yw ei gyrchfan yn ymddangos yn y naill restr na'r llall. Atebwch hynny'n ysgrifenedig, ac mae gweddill y ffurfweddiad yn dilyn o hynny. Os byddwch yn hepgor y cwestiwn, y person sydd y diwrnod hwnnw agosaf at y cleient fydd yn penderfynu ar y methiant cyntaf nas eglurwyd.
Dilynwch ap na chofnododd neb
Mewn dyluniad cynnwys yn unig mae'r ap hwnnw'n mynd yn syth, ar y rhwydwaith lleol, gyda'r DNS lleol. Mewn dyluniad eithrio yn unig mae'n mynd trwy'r twnnel, yn ôl yr hyn a ganiateir gan y gweinydd, a dyna'n aml y gwahaniaeth rhwng offeryn SaaS newydd sy'n gweithio ar y diwrnod cyntaf a thocyn sy'n dweud bod y VPN wedi'i dorri.
Nid yw'r naill ragosodiad na'r llall yn fwy diogel ynddo'i hun. Mae cynnwys yn culhau'r hyn y mae'r twnnel yn ei gario ac yn gwneud y rhwydwaith lleol yn llwybr lleiaf gwrthwynebiad; mae eithrio yn cymryd y twnnel fel y llwybr arferol ac yn trin eithriadau fel eithriadau, sy'n agosach at yr hyn y mae'r rhan fwyaf o bolisïau corfforaethol yn ei olygu mewn gwirionedd.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Sylwch pa fath o wrthrych y mae'r platfform yn ei restru
Mae VpnService.Builder Android yn datgelu rhestr o apiau a ganiateir a rhestr o apiau a waherddir fel dau fodel ar wahân, ac mae rheolau fesul ap yn dewis yn ôl pecyn yn hytrach nag yn ôl cyrchfan. Mae porwr a roddir mewn rhestr o'r fath yn cario pob cyrchfan y mae'n ei agor, sef manylder gwahanol i dabl llwybro ac ni all drwsio un safle wedi torri y tu mewn i ap sy'n gweithio.
Mae cleientiaid bwrdd gwaith fel arfer yn cymysgu'r ddau fath mewn un rhyngwyneb, felly gwiriwch a yw y rhes rydych yn ei hychwanegu yn becyn, yn enw gwesteiwr neu'n rhagddodiad. Maent yn methu mewn ffyrdd gwahanol ac yn cael eu datrys mewn gwahanol leoedd. Mae rhes enw gwesteiwr fel arfer yn dod yn llwybr ynghyd ag enw, tra bo rhes pecyn yn dod yn benderfyniad polisi y tu mewn i'r cleient. Nodwch pa un o'r ddau ychwanegoch, oherwydd bydd y sawl sy'n dadfygio'n ddiweddarach yn cymryd y llall yn ganiataol.
Profwch y cyflwr methu, nid yn unig y llwybr hapus
Nid yw ap a eithrir o'r twnnel yn cael mynediad uniongyrchol glân yn awtomatig. Os yw'r cleient hefyd yn gorfodi rheol sy'n blocio heb VPN, gall y traffig a eithrir gael ei daflu'n llwyr, sy'n edrych fel ap wedi torri yn hytrach na phenderfyniad llwybro. Profwch y cyflwr hwnnw'n fwriadol yn lle ei ddarganfod o adroddiad defnyddiwr.
Yna gwiriwch DNS ac IPv6 fel eitemau ar wahân. Mae twnnel sy'n cario IPv4 yn unig yn gadael llwybr o gwmpas iddo i ap sy'n gallu v6, ac mae DNS hollt yn penderfynu a yw enwau mewnol yn cael eu datrys ar gyfer traffig nad yw'n cael ei dwnelu o gwbl. Rhedwch ap sydd ar y rhestr, ap nad yw ar y rhestr, chwiliad enw ac un ailgysylltiad, a chadwch y canlyniadau gyda'r ffurfweddiad.
Ysgrifennwch y rhagosodiad lle bydd y person nesaf yn dod o hyd iddo
Cofnodwch y rhagosodiad a ddewiswyd, yr eithriadau a phwy sy'n berchen arnynt yn yr un lle â phroffil y cleient, oherwydd bydd y gweinyddwr nesaf yn ychwanegu cofnod heb ddarllen y rhesymu hwn. Nodwch y dyddiad a'r rheswm dros bob eithriad, fel y gellir tynnu eithriad darfodedig ar gyfer safle sydd wedi'i drwsio ers hynny yn hyderus. Mae rhestr heb resymau yn tyfu am byth.
Pan fydd rhywun yn adrodd am un gyrchfan wedi torri, newidiwch yr eithriad ac nid y llinell sylfaen. Mae troi'r rhagosodiad i drwsio un safle yn symud pob ap nas rhestrodd yn dawel i ochr arall y twnnel.