VPN-undtagelse for hjemme-LAN på Android: en kørebog for én tjeneste

Du vil have én hjemmetjeneste tilgængelig, mens VPN stadig gælder for alt andet. Den fristende indstilling er en undtagelse for lokalruten, der dækker hver privat adresse, og det er den forkerte kontrol: på det næste hotel- eller cafenetværk kan den gøre hvad som helst, der svarer, til en omvej. Denne kørebog afgrænser undtagelsen til én tjeneste og beviser den under de overgange, der bryder den.

Definér undtagelsen som en tjeneste, ikke et subnet

Notér appen, værtsnavnet og adressen for destinationen, protokollen og porten, netværket hvor den er tilladt, og den identitetskontrol, tjenesten selv udfører. For et NAS med godkendelse er det certifikatet eller kontoen, der beviser, at du nåede den rigtige maskine. En adresse i 192.168.0.0/16 beviser intet, fordi enhver hjemmerouter uddeler de samme præfikser.

Afgør også, hvad tæt på betyder. En tjeneste på et routet VLAN er ikke på det subnet, telefonen er direkte forbundet til, og et gæste-Wi-Fi kan dele samme private præfiks som hjemmet og alligevel være en helt anden maskine. Undtagelsen skal navngive tjenesten og miljøet, ikke bare adresseområdet.

Bekræft, at platformens kontrol passer til kravet

Androids IKEv2-profilbygger eksponerer setLocalRoutesExcluded(true), og dokumentationen kræver en VPN, der kan omgås: undtagelsen er kun meningsfuld, når klienten lader trafik omgå tunnelen. Samme dokumentation advarer om, at det underliggende netværk kan levere ruter, der påvirker undtagelsen, og derfor følger indstillingen det netværk, du tilslutter dig, ikke det netværk, du stoler på.

Det er heller ikke et løfte om, at enhver låsning eller administreret konfiguration lader brugeren slå den samme undtagelse til. Ruteundtagelse, omgåelsesflaget og enhedens blokeringspolitik er separate kontroller, og en administreret enhed kan forbyde den tredje, mens den tillader de to første. Kontrollér den installerede profil og administrationspolitikken, før du designer omkring et afkrydsningsfelt.

Kørebog: byg og anvend undtagelsen

Trin 1: opret profilen ad den understøttede vej for udrulningen, enten den administrerede konfiguration eller klientbyggeren. Trin 2: markér VPN som omgåelig, fordi undtagelsen for lokalruten ikke virker uden. Trin 3: slå undtagelsen for lokalruten til. Trin 4: hold tjenestens egen godkendelse og certifikatvalidering slået til; undtagelsen handler om routing, ikke om tillid. Trin 5: gem og genopret forbindelsen, så profilen anvendes.

Tilbagerulning er samme vej baglæns: ryd undtagelsen, ryd derefter omgåeligheden, og genopret så forbindelsen. Patch ikke en rute eller et firewall-hook direkte på enheden. Netværksdæmonen ejer disse regler, og en manuel regel kan overse en anden adressefamilie, en genoprettet forbindelse eller en netværksovergang. Hvis den installerede konfiguration ikke kan udtrykke politikken, så behold den strengere blokering, indtil ejeren godkender et andet design.

Test de fire tilfælde, der betyder noget

Brug harmløse forespørgsler, og skriv det forventede resultat ned, før du kører hvert tilfælde. Matricen nedenfor er accepttesten, ikke et forslag: hvis et afvist tilfælde lykkes, er undtagelsen bredere end politikken.

Tilfælde 3 er det, der fanger en bred omvej over et privat subnet, og tilfælde 4 fanger en klient, der kun anvendte undtagelsen ved forbindelse. Kør tilfælde 4 med VPN afbrudt og med telefonen flyttet til mobildata, og genopret derefter forbindelsen og bekræft, at undtagelsen vender tilbage uden genstart. API-referencen for lokalruten angiver omgåelighedskravet, som gør trin 2 obligatorisk.

Registrér undtagelsen og gennemgå den

Den vedligeholdte registrering skal navngive tjenesten, det miljø, der begrundede den, ejeren og datoen. Lokal beskriver et routingforhold, ikke et tillidsniveau, og det næste netværk, telefonen tilslutter sig, er ikke det netværk, hvor undtagelsen blev godkendt.

Gennemgå registreringen efter en OS-opdatering, en klientopdatering eller en flytning. Kør tilfælde 3 igen, hver gang undtagelsen fornys, fordi en profil, der engang begrænsede omvejen til én tjeneste, kan udvides med en enkelt standardændring.