Androidi koduse LAN-i VPN-erand: tegevusjuhend ühe teenuse jaoks
Välistage ainult see kodune teenus, mille heaks kiitsite, mitte kõik privaatsed marsruudid. Kirjutage poliitika, kasutage möödaviidavat VPN-i ja testige seejärel külalisvõrgu tõrget.
Soovite, et üks kodune teenus oleks kättesaadav, samal ajal kui VPN kehtib kõige muu jaoks. Ahvatlev seade on kohaliku marsruudi erand, mis katab iga privaatse aadressi, ja see on vale kontroll: järgmises hotelli- või kohvikuvõrgus võib see muuta kõik, mis vastab, möödaviiguks. See juhend piirab erandi ühe teenusega ja tõestab seda üleminekutes, mis selle katki teevad.
Määratlege erand teenusena, mitte alavõrguna
Kirjutage üles rakendus, sihtkoha hostinimi ja aadress, protokoll ja port, võrk, kus see on lubatud, ning identiteedikontroll, mille teenus ise teeb. Autentimisega NAS-i puhul tõestab sertifikaat või konto, et jõudsite õigesse masinasse. Aadress vahemikus 192.168.0.0/16 ei tõesta midagi, sest iga kodune ruuter jagab samu prefikseid.
Otsustage ka, mida tähendab lähedal. Marsruuditud VLAN-i teenus ei ole telefoni otse ühendatud alavõrgus, ja külaliste Wi-Fi võib jagada koduga sama privaatset prefiksit, olles samal ajal hoopis teine masin. Erand peaks nimetama teenust ja keskkonda, mitte ainult aadressivahemikku.
Kinnitage, et platvormi kontroll vastab nõudele
Androidi IKEv2 profiilikoostaja pakub setLocalRoutesExcluded(true) ja selle dokumentatsioon nõuab möödaviidavat VPN-i: erand on mõttekas ainult siis, kui klient laseb liiklusel tunnelist mööda minna. Sama dokumentatsioon hoiatab, et alusvõrk võib pakkuda marsruute, mis erandit mõjutavad, seepärast järgib seade võrku, millega liitute, mitte võrku, mida usaldate.
See ei ole ka lubadus, et iga lukustus või hallatav konfiguratsioon lubab kasutajal sama erandit sisse lülitada. Marsruudi erand, möödaviigu lipp ja seadme blokeerimispoliitika on eraldi kontrollid ning hallatav seade võib keelata kolmanda, lubades kahte esimest. Kontrollige paigaldatud profiili ja halduspoliitikat enne, kui kujundate märkeruudu ümber.
Juhend: looge ja rakendage erand
Samm 1: looge profiil juurutuse jaoks toetatud teel, kas hallatav konfiguratsioon või kliendikoostaja. Samm 2: märkige VPN möödaviidavaks, sest kohaliku marsruudi erand ei toimi ilma selleta. Samm 3: lülitage sisse kohaliku marsruudi erand. Samm 4: jätke teenuse enda autentimine ja sertifikaadi valideerimine sisse lülitatuks; erand puudutab marsruutimist, mitte usaldust. Samm 5: salvestage ja ühenduge uuesti, et profiil rakenduks.
Tagasipööramine on sama tee vastupidises järjekorras: tühjendage erand, siis tühjendage möödaviidavus ja seejärel ühenduge uuesti. Ärge paikage marsruuti ega tulemüüri haaki otse seadmes. Võrgudemoon omab neid reegleid ja käsitsi tehtud reegel võib jätta vahele teise aadressiperekonna, taasühenduse või võrguülemineku. Kui paigaldatud konfiguratsioon ei suuda poliitikat väljendada, hoidke rangemat blokeeringut, kuni omanik kinnitab teise kavandi.
Testige nelja olulist juhtumit
Kasutage kahjutuid päringuid ja kirjutage oodatav tulemus üles enne iga juhtumi käivitamist. Allolev maatriks on vastuvõtutest, mitte soovitus: kui mõni keelatud juhtum õnnestub, on erand poliitikast laiem.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
Juhtum 3 püüab kinni laia privaatse alavõrgu möödaviigu ja juhtum 4 püüab kliendi, kes rakendas erandit ainult ühendamise hetkel. Käivitage juhtum 4 VPN-i lahtiühendatud olekus ja telefoniga mobiilivõrku viidud, seejärel ühenduge uuesti ja kinnitage, et erand naaseb ilma taaskäivituseta. Kohaliku marsruudi API viide nimetab möödaviidavuse nõuet, mis teeb sammu 2 kohustuslikuks.
Registreerige erand ja vaadake see üle
Hooldatav kirje peaks nimetama teenust, seda õigustanud keskkonda, omanikku ja kuupäeva. Kohalik kirjeldab marsruutimissuhet, mitte usaldustaset, ja järgmine võrk, millega telefon liitub, ei ole võrk, kus erand kinnitati.
Vaadake kirje üle pärast OS-i uuendust, kliendi uuendust või kolimist. Käivitage juhtum 3 uuesti iga kord, kui erandit uuendatakse, sest profiili, mis kunagi piiras möödaviigu ühe teenusega, saab ühe vaikeväärtuse muudatusega laiendada.