Εξαίρεση VPN για το οικιακό LAN στο Android: οδηγός για μία υπηρεσία

Θέλετε μία οικιακή υπηρεσία προσβάσιμη ενώ το VPN παραμένει σε ισχύ για όλα τα άλλα. Η δελεαστική ρύθμιση είναι μια εξαίρεση τοπικής διαδρομής που καλύπτει κάθε ιδιωτική διεύθυνση, και αυτός είναι ο λάθος έλεγχος: στο επόμενο δίκτυο ξενοδοχείου ή καφετέριας μπορεί να μετατρέψει ό,τι απαντά σε παράκαμψη. Αυτός ο οδηγός περιορίζει την εξαίρεση σε μία υπηρεσία και την αποδεικνύει στις μεταβάσεις που τη σπάνε.

Ορίστε την εξαίρεση ως υπηρεσία, όχι ως υποδίκτυο

Καταγράψτε την εφαρμογή, το όνομα κεντρικού υπολογιστή και τη διεύθυνση προορισμού, το πρωτόκολλο και τη θύρα, το δίκτυο όπου επιτρέπεται και τον έλεγχο ταυτότητας που κάνει η ίδια η υπηρεσία. Σε NAS με έλεγχο ταυτότητας, το πιστοποιητικό ή ο λογαριασμός αποδεικνύει ότι φτάσατε στο σωστό μηχάνημα. Μια διεύθυνση στο 192.168.0.0/16 δεν αποδεικνύει τίποτα, γιατί κάθε οικιακός δρομολογητής δίνει τα ίδια προθέματα.

Αποφασίστε επίσης τι σημαίνει κοντά. Μια υπηρεσία σε δρομολογημένο VLAN δεν βρίσκεται στο υποδίκτυο που είναι απευθείας συνδεδεμένο με το τηλέφωνο, και ένα Wi-Fi επισκεπτών μπορεί να μοιράζεται το ίδιο ιδιωτικό πρόθεμα με το σπίτι ενώ είναι εντελώς διαφορετικό μηχάνημα. Η εξαίρεση πρέπει να ονομάζει την υπηρεσία και το περιβάλλον, όχι μόνο το εύρος διευθύνσεων.

Επιβεβαιώστε ότι ο έλεγχος της πλατφόρμας ταιριάζει με την απαίτηση

Ο δημιουργός προφίλ IKEv2 του Android εκθέτει setLocalRoutesExcluded(true), και η τεκμηρίωσή του απαιτεί VPN με δυνατότητα παράκαμψης: η εξαίρεση έχει νόημα μόνο όταν ο πελάτης επιτρέπει στην κίνηση να παρακάμψει τη σήραγγα. Η ίδια τεκμηρίωση προειδοποιεί ότι το υποκείμενο δίκτυο μπορεί να παρέχει διαδρομές που επηρεάζουν την εξαίρεση, γι αυτό η ρύθμιση ακολουθεί το δίκτυο στο οποίο συνδέεστε, όχι το δίκτυο που εμπιστεύεστε.

Επίσης δεν είναι υπόσχεση ότι κάθε κλείδωμα ή διαχειριζόμενη διαμόρφωση θα επιτρέψει στον χρήστη να ενεργοποιήσει την ίδια εξαίρεση. Η εξαίρεση διαδρομής, η σημαία παράκαμψης και η πολιτική αποκλεισμού της συσκευής είναι ξεχωριστοί έλεγχοι, και μια διαχειριζόμενη συσκευή μπορεί να απαγορεύσει τον τρίτο ενώ επιτρέπει τους δύο πρώτους. Ελέγξτε το εγκατεστημένο προφίλ και την πολιτική διαχείρισης πριν σχεδιάσετε γύρω από ένα πλαίσιο ελέγχου.

Οδηγός: κατασκευάστε και εφαρμόστε την εξαίρεση

Βήμα 1: δημιουργήστε το προφίλ από την υποστηριζόμενη διαδρομή για την ανάπτυξη, είτε τη διαχειριζόμενη διαμόρφωση είτε τον δημιουργό πελάτη. Βήμα 2: σημειώστε το VPN ως δυνάμενο παράκαμψης, γιατί η εξαίρεση τοπικής διαδρομής δεν λειτουργεί χωρίς αυτό. Βήμα 3: ενεργοποιήστε την εξαίρεση τοπικής διαδρομής. Βήμα 4: κρατήστε ενεργό τον έλεγχο ταυτότητας της ίδιας της υπηρεσίας και την επικύρωση πιστοποιητικού· η εξαίρεση αφορά τη δρομολόγηση, όχι την εμπιστοσύνη. Βήμα 5: αποθηκεύστε και επανασυνδεθείτε ώστε να εφαρμοστεί το προφίλ.

Η επαναφορά είναι η ίδια διαδρομή αντίστροφα: καθαρίστε την εξαίρεση, μετά καθαρίστε τη δυνατότητα παράκαμψης και μετά επανασυνδεθείτε. Μην επιδιορθώνετε διαδρομή ή άγκιστρο τείχους προστασίας απευθείας στη συσκευή. Ο δαίμονας δικτύου κατέχει αυτούς τους κανόνες και ένας χειροκίνητος κανόνας μπορεί να χάσει άλλη οικογένεια διευθύνσεων, μια επανασύνδεση ή μια μετάβαση δικτύου. Αν η εγκατεστημένη διαμόρφωση δεν μπορεί να εκφράσει την πολιτική, κρατήστε τον αυστηρότερο αποκλεισμό μέχρι ο ιδιοκτήτης να εγκρίνει άλλο σχέδιο.

Δοκιμάστε τις τέσσερις περιπτώσεις που μετράνε

Χρησιμοποιήστε ακίνδυνα αιτήματα και γράψτε το αναμενόμενο αποτέλεσμα πριν εκτελέσετε κάθε περίπτωση. Ο πίνακας παρακάτω είναι η δοκιμή αποδοχής, όχι πρόταση: αν πετύχει οποιαδήποτε απορριφθείσα περίπτωση, η εξαίρεση είναι ευρύτερη από την πολιτική.

Η περίπτωση 3 πιάνει μια ευρεία παράκαμψη ιδιωτικού υποδικτύου και η περίπτωση 4 πιάνει έναν πελάτη που εφάρμοσε την εξαίρεση μόνο κατά τη σύνδεση. Εκτελέστε την περίπτωση 4 με αποσυνδεδεμένο VPN και με το τηλέφωνο σε κινητό δίκτυο, μετά επανασυνδεθείτε και επιβεβαιώστε ότι η εξαίρεση επιστρέφει χωρίς επανεκκίνηση. Η αναφορά API τοπικής διαδρομής αναφέρει την απαίτηση παράκαμψης που κάνει το βήμα 2 υποχρεωτικό.

Καταγράψτε την εξαίρεση και αναθεωρήστε την

Το τηρούμενο αρχείο πρέπει να ονομάζει την υπηρεσία, το περιβάλλον που τη δικαιολόγησε, τον ιδιοκτήτη και την ημερομηνία. Το τοπικό περιγράφει σχέση δρομολόγησης, όχι επίπεδο εμπιστοσύνης, και το επόμενο δίκτυο στο οποίο θα συνδεθεί το τηλέφωνο δεν είναι το δίκτυο όπου εγκρίθηκε η εξαίρεση.

Αναθεωρήστε το αρχείο μετά από ενημέρωση λειτουργικού, ενημέρωση πελάτη ή μετακόμιση. Εκτελείτε ξανά την περίπτωση 3 κάθε φορά που ανανεώνεται η εξαίρεση, γιατί ένα προφίλ που κάποτε περιόρισε την παράκαμψη σε μία υπηρεσία μπορεί να διευρυνθεί με μία μόνο προεπιλεγμένη αλλαγή.