Nur-inkludo aŭ nur-ekskludo: kiu defaŭlto?
Elektu la defaŭlton antaŭ ol konstrui la liston: tunelu nur tion, kion vi nomas, aŭ tunelu ĉion kaj eltranĉu esceptojn. Poste testu la aplikaĵon, kiun neniu aldonis.
Malfermu la enkursigan sekcion de via VPN-kliento kaj vi vidas du malsame formitajn regilojn, kiuj ofte portas la saman etikedon. Unu petas vin listigi la celojn, kiuj apartenas al la tunelo, kaj ĉio alia daŭre uzas la lokan reton. La alia supozas, ke ĉio estas tunelata, kaj demandas, kion oni eltranĉu. Ambaŭ donas al vi funkciantan tunelon ĉe la unua testo, kaj ambaŭ estas prizorgataj aldonante liniojn al listo, kaj pro tio la diferenco restas nevidebla ĝis iu instalas ion novan.
La elekto estas defaŭlto, ne funkcio. Fiksu ĝin antaŭ ol la listo havos dudek erojn.
Legu la defaŭlton de la kliento, ne de la broŝuro
WireGuard igas la decidon nekutime videbla, ĉar AllowedIPs estas inkluda listo kaj nenio alia. Peer kun 0.0.0.0/0, ::/0 tunelas ĉion; peer kun 10.20.0.0/16 tunelas nur tion. Ne ekzistas ekskluda sintakso, do se vi volas lasi unu subreton ekstere, vi devas aŭ listigi ĉiujn aliajn prefiksojn aŭ aldoni politikan enkursigon ekster la interfaco.
OpenVPN atingas la saman lokon de la alia direkto, kun redirect-gateway def1 instalanta plenan tunelon kaj eksplicitaj route-direktivoj aldonantaj aŭ anstataŭigantaj specifajn prefiksojn. Komercaj klientoj kutime kaŝas ambaŭ malantaŭ markobutono kaj cellabelo, do legu, kiun el la du la tabelo vere redaktas, antaŭ ol fidi la etikedon.
La demando ne estas, kiel nomiĝas la markobutono. La demando estas, kio okazas al paketo, kies celo aperas en neniu el la du listoj. Respondu tion skribe, kaj la resto de la agordo sekvas el tio. Se vi preterlasas la demandon, la unuan neklarigitan paneon decidos tiu, kiu tiun tagon hazarde sidas plej proksime al la kliento.
Sekvu aplikaĵon, kiun neniu aldonis
En nur-inkluda dezajno tiu aplikaĵo iras rekte, sur la loka reto, kun la loka DNS. En nur-ekskluda dezajno ĝi iras tra la tunelo, laŭ tio, kion la servilo permesas, kaj tio ofte estas la diferenco inter nova SaaS-ilo, kiu funkcias la unuan tagon, kaj bileto, kiu diras, ke la VPN rompis ĝin.
Neniu el la du defaŭltoj estas pli sekura per si mem. Inkludo mallarĝigas tion, kion la tunelo portas, kaj faras la lokan reton la vojo de plej malgranda rezisto; ekskludo prenas la tunelon kiel normalan vojon kaj traktas esceptojn kiel esceptojn, kio estas pli proksima al tio, kion la plej multaj entreprenaj politikoj efektive volas diri.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Rimarku, kian tipon de objekto la platformo listigas
La VpnService.Builder de Android montras liston de permesitaj kaj liston de malpermesitaj aplikaĵoj kiel du apartajn modelojn, kaj reguloj laŭ aplikaĵo elektas laŭ pako anstataŭ laŭ celo. Retumilo metita en tian liston portas ĉiun celon, kiun ĝi malfermas, kio estas alia detaleco ol enkursiga tabelo kaj ne povas ripari unu rompitan retejon ene de funkcianta aplikaĵo.
Labortablaj klientoj kutime miksas ambaŭ tipojn en unu interfaco, do kontrolu, ĉu la vico, kiun vi aldonas, estas pako, gastigantnomo aŭ prefikso. Ili malsukcesas laŭ malsamaj manieroj kaj estas solvataj en malsamaj lokoj. Gastigantnoma vico kutime fariĝas enkursigo plus nomo, dum paka vico fariĝas politika decido ene de la kliento. Notu, kiun el la du vi aldonis, ĉar tiu, kiu poste sencimigos, supozos la alian.
Testu la malsukcesan staton, ne nur la feliĉan vojon
Aplikaĵo ekskludita el la tunelo ne aŭtomate ricevas puran rektan aliron. Se la kliento krome devigas regulon, kiu blokas sen VPN, la ekskludita trafiko povas esti tute forĵetita, kio aspektas kiel rompita aplikaĵo prefere ol kiel enkursiga decido. Testu tiun kazon intence anstataŭ malkovri ĝin el raporto de uzanto.
Poste kontrolu DNS kaj IPv6 kiel apartajn erojn. Tunelo, kiu portas nur IPv4, lasas al v6-kapabla aplikaĵo vojon ĉirkaŭ ĝi, kaj dividita DNS decidas, ĉu internaj nomoj solviĝas por trafiko, kiu tute ne estas tunelata. Rulu listigitan aplikaĵon, nelistigitan aplikaĵon, nomserĉon kaj unu religon, kaj konservu la rezultojn kun la agordo.
Skribu la defaŭlton tien, kie la sekva persono trovos ĝin
Registru la elektitan defaŭlton, la esceptojn kaj kiu respondecas pri ili en la sama loko kiel la klienta profilo, ĉar la sekva administranto aldonos eron sen legi ĉi tiun rezonadon. Notu la daton kaj la kialon de ĉiu escepto, por ke eksdata escepto por retejo, kiu intertempe ripariĝis, povu esti forigita kun konfido. Listo sen kialoj kreskas eterne.
Kiam iu raportas unu rompitan celon, ŝanĝu la escepton kaj ne la bazlinion. Turni la defaŭlton por ripari unu retejon silente movas ĉiun nelistigitan aplikaĵon al la alia flanko de la tunelo.