Android: VPN-Ausnahme für das Heim-LAN: ein Runbook für einen Dienst
Schließen Sie nur den freigegebenen Heimdienst aus, nicht jede private Route. Schreiben Sie die Richtlinie, nutzen Sie ein umgehbares VPN und testen Sie dann den Fehler im Gästenetz.
Sie wollen einen Heimdienst erreichbar halten, während das VPN für alles andere in Kraft bleibt. Die verlockende Einstellung ist eine Ausnahme für die lokale Route, die jede private Adresse abdeckt, und das ist die falsche Kontrolle: im nächsten Hotel- oder Cafénetz kann sie alles, was antwortet, zu einem Bypass machen. Dieses Runbook begrenzt die Ausnahme auf einen Dienst und belegt sie unter den Übergängen, die sie brechen.
Definieren Sie die Ausnahme als Dienst, nicht als Subnetz
Notieren Sie die App, den Hostnamen und die Adresse des Ziels, das Protokoll und den Port, das Netz, in dem sie erlaubt ist, und die Identitätsprüfung, die der Dienst selbst durchführt. Bei einem NAS mit Authentifizierung belegt das Zertifikat oder das Konto, dass Sie die richtige Maschine erreicht haben. Eine Adresse in 192.168.0.0/16 belegt nichts, weil jeder Heimrouter dieselben Präfixe vergibt.
Legen Sie auch fest, was in der Nähe bedeutet. Ein Dienst in einem gerouteten VLAN liegt nicht im direkt verbundenen Subnetz des Telefons, und ein Gäste-Wi-Fi kann dasselbe private Präfix wie zu Hause teilen und dennoch eine völlig andere Maschine sein. Die Ausnahme sollte den Dienst und die Umgebung benennen, nicht nur den Adressbereich.
Prüfen Sie, ob die Plattformkontrolle zur Anforderung passt
Der IKEv2-Profilgenerator von Android stellt setLocalRoutesExcluded(true) bereit, und seine Dokumentation verlangt ein umgehbares VPN: Die Ausnahme ist nur sinnvoll, wenn der Client Verkehr am Tunnel vorbeilassen darf. Dieselbe Dokumentation warnt, dass das zugrunde liegende Netz Routen liefern kann, die die Ausnahme beeinflussen, weshalb die Einstellung dem Netz folgt, dem Sie beitreten, nicht dem Netz, dem Sie vertrauen.
Es ist auch kein Versprechen, dass jede Sperre oder verwaltete Konfiguration dem Nutzer dieselbe Ausnahme erlaubt. Route-Ausnahme, Umgehbarkeits-Flag und Gerätesperrrichtlinie sind getrennte Kontrollen, und ein verwaltetes Gerät kann die dritte verbieten und die ersten beiden erlauben. Prüfen Sie das installierte Profil und die Verwaltungsrichtlinie, bevor Sie um ein Kontrollkästchen herum entwerfen.
Runbook: Ausnahme bauen und anwenden
Schritt 1: Erstellen Sie das Profil über den unterstützten Weg für das Deployment, entweder die verwaltete Konfiguration oder den Client-Generator. Schritt 2: Markieren Sie das VPN als umgehbar, denn ohne das wirkt die Ausnahme der lokalen Route nicht. Schritt 3: Aktivieren Sie die Ausnahme der lokalen Route. Schritt 4: Lassen Sie die eigene Authentifizierung und Zertifikatsprüfung des Dienstes aktiv; die Ausnahme betrifft das Routing, nicht das Vertrauen. Schritt 5: Speichern und neu verbinden, damit das Profil angewendet wird.
Das Zurückrollen ist derselbe Weg rückwärts: Ausnahme löschen, dann Umgehbarkeit löschen, dann neu verbinden. Patchen Sie keine Route und keinen Firewall-Hook direkt auf dem Gerät. Der Netzwerkdaemon besitzt diese Regeln, und eine manuelle Regel kann eine andere Adressfamilie, eine Neuverbindung oder einen Netzübergang verfehlen. Kann die installierte Konfiguration die Richtlinie nicht ausdrücken, behalten Sie die strengere Sperre, bis der Eigentümer ein anderes Design genehmigt.
Testen Sie die vier Fälle, die zählen
Verwenden Sie harmlose Anfragen und notieren Sie das erwartete Ergebnis, bevor Sie jeden Fall ausführen. Die Matrix unten ist der Abnahmetest, kein Vorschlag: gelingt ein verweigerter Fall, ist die Ausnahme breiter als die Richtlinie.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
Fall 3 fängt einen breiten Bypass über ein privates Subnetz, und Fall 4 fängt einen Client, der die Ausnahme nur beim Verbinden anwendete. Führen Sie Fall 4 mit getrenntem VPN und mit auf Mobilfunk verschobenem Telefon aus, verbinden Sie dann neu und bestätigen Sie, dass die Ausnahme ohne Neustart zurückkehrt. Die API-Referenz zur lokalen Route nennt die Umgehbarkeitsanforderung, die Schritt 2 unabdingbar macht.
Dokumentieren und überprüfen Sie die Ausnahme
Der gepflegte Eintrag sollte den Dienst, die rechtfertigende Umgebung, den Eigentümer und das Datum nennen. Lokal beschreibt eine Routing-Beziehung, keine Vertrauensstufe, und das nächste Netz, dem das Telefon beitritt, ist nicht das Netz, in dem die Ausnahme genehmigt wurde.
Überprüfen Sie den Eintrag nach einem OS-Update, einem Client-Update oder einem Umzug. Führen Sie Fall 3 bei jeder Erneuerung erneut aus, denn ein Profil, das den Bypass einmal auf einen Dienst begrenzte, kann durch eine einzige Standardänderung erweitert werden.