Android-hejma LAN VPN-escepto: gvidilo por unu servo

Vi volas, ke unu hejma servo estu atingebla dum la VPN restas valida por ĉio alia. La alloga agordo estas escepto de loka itinero, kiu kovras ĉiun privatan adreson, kaj tio estas la malĝusta regilo: en la sekva hotelo aŭ kafeja reto ĝi povas igi ion ajn, kio respondas, pretervojo. Ĉi tiu gvidilo limigas la escepton al unu servo kaj pruvas ĝin sub la transiroj, kiuj rompas ĝin.

Difinu la escepton kiel servon, ne kiel subreton

Notu la aplikaĵon, la gastigan nomon kaj adreson de la celo, la protokolon kaj pordon, la reton kie ĝi estas permesita, kaj la identokontrolon, kiun la servo mem faras. Ĉe NAS kun aŭtentikigo, la atestilo aŭ la konto pruvas, ke vi atingis la ĝustan maŝinon. Adreso en 192.168.0.0/16 pruvas nenion, ĉar ĉiu hejma enkursigilo disdonas la samajn prefiksojn.

Decidu ankaŭ, kion signifas proksime. Servo en enkursigita VLAN ne estas en la subreto rekte konektita al la telefono, kaj gastiga Wi-Fi povas dividi la saman privatan prefikson kun la hejmo dum esti tute alia maŝino. La escepto nomu la servon kaj la medion, ne nur la adresaron.

Konfirmu, ke la platforma regilo kongruas kun la postulo

La IKEv2-profila konstruilo de Android elmetas setLocalRoutesExcluded(true), kaj ĝia dokumentaro postulas preterireblan VPN-on: la escepto havas sencon nur kiam la kliento lasas la trafikon preteriri la tunelon. La sama dokumentaro avertas, ke la suba reto povas liveri itinerojn, kiuj influas la escepton, do la agordo sekvas la reton, al kiu vi aliĝas, ne la reton, kiun vi fidas.

Ĝi ankaŭ ne estas promeso, ke ĉiu ŝloso aŭ administrita agordo permesos al la uzanto ŝalti la saman escepton. Itinera escepto, la preterirebla flago kaj la blokpolitiko de la aparato estas apartaj regiloj, kaj administrita aparato povas malpermesi la trian dum permesi la unuajn du. Kontrolu la instalitan profilon kaj la administran politikon antaŭ ol desegni ĉirkaŭ markobutono.

Gvidilo: konstruu kaj apliku la escepton

Paŝo 1: kreu la profilon per la subtenata vojo por la deplojo, aŭ la administrita agordo aŭ la klienta konstruilo. Paŝo 2: marku la VPN-on kiel preterireblan, ĉar la escepto de loka itinero ne efikas sen ĝi. Paŝo 3: ŝaltu la escepton de loka itinero. Paŝo 4: lasu la propran aŭtentikigon de la servo kaj la atestilan validigon ŝaltitaj; la escepto temas pri enkursigado, ne pri fido. Paŝo 5: konservu kaj rekonektu, por ke la profilo aplikiĝu.

Rulumo estas la sama vojo inverse: viŝu la escepton, poste viŝu la preterireblecon, poste rekonektu. Ne fliku itinerojn aŭ fajroŝirma hokon rekte sur la aparato. La reta demono posedas tiujn regulojn, kaj permana regulo povas maltrafi alian adresfamilion, rekonekton aŭ retan transiron. Se la instalita agordo ne povas esprimi la politikon, tenu la pli striktan blokon ĝis la posedanto aprobos alian dezajnon.

Testu la kvar kazojn, kiuj gravas

Uzu sendanĝerajn petojn kaj notu la atendatan rezulton antaŭ ol ruli ĉiun kazon. La matrico sube estas la akcepta testo, ne sugesto: se iu rifuzita kazo sukcesas, la escepto estas pli larĝa ol la politiko.

Kazo 3 kaptas larĝan pretervojon de privata subreto, kaj kazo 4 kaptas klienton, kiu aplikis la escepton nur ĉe konekto. Rulu kazon 4 kun la VPN malkonektita kaj kun la telefono movita al poŝtelefona reto, poste rekonektu kaj konfirmu, ke la escepto revenas sen restarto. La API-referenco pri loka itinero indikas la preterireblecan postulon, kiu faras paŝon 2 deviga.

Registru la escepton kaj reviziu ĝin

La prizorgata registro nomu la servon, la medion, kiu pravigis ĝin, la posedanton kaj la daton. Loka priskribas enkursigadan rilaton, ne fidan nivelon, kaj la sekva reto, al kiu aliĝos la telefono, ne estas la reto, kie la escepto estis aprobita.

Reviziu la registron post operaciuma ĝisdatigo, klienta ĝisdatigo aŭ transloĝiĝo. Rerulu kazon 3 ĉiufoje, kiam la escepto renoviĝas, ĉar profilo, kiu iam limigis la pretervojon al unu servo, povas esti larĝigita per unu sola defaŭlta ŝanĝo.