Ainult kaasamine või ainult väljajätmine: milline vaikeväärtus?
Vali vaikeväärtus enne, kui hakkad nimekirja koostama: tunnelda ainult seda, mida nimetad, või tunnelda kõike ja lõika erandid välja. Seejärel testi rakendust, mida keegi ei lisanud.
Ava VPN-kliendi marsruutimise jaotis ja näed kahte erineva kujuga juhtelementi, mis kannavad sageli sama silti. Üks palub sul loetleda sihtkohad, mis kuuluvad tunnelisse, ja kõik muu jätkab kohaliku võrgu kasutamist. Teine eeldab, et kõik käib tunnelist läbi, ja küsib, mida tuleks uuesti välja lõigata. Mõlemad annavad esimesel katsel töötava tunneli ja mõlemat hooldatakse ridade lisamisega nimekirja, mistõttu jääb erinevus nähtamatuks seni, kuni keegi paigaldab midagi uut.
Valik on vaikeväärtus, mitte funktsioon. Otsusta see enne, kui nimekirjas on kakskümmend kirjet.
Loe vaikeväärtus kliendist, mitte brošüürist
WireGuard teeb otsuse ebatavaliselt nähtavaks, sest AllowedIPs on kaasamisnimekiri ja mitte midagi muud. Peer väärtusega 0.0.0.0/0, ::/0 tunnelab kõike; peer väärtusega 10.20.0.0/16 tunnelab ainult seda. Väljajätmise süntaksit ei ole, seega kui tahad ühe alavõrgu välja jätta, pead kas loetlema kõik teised prefiksid või lisama liidesest väljapoole poliitikapõhise marsruutimise.
OpenVPN jõuab samasse kohta teisest suunast, kus redirect-gateway def1 paigaldab täieliku tunneli ja selgesõnalised route-direktiivid lisavad või alistavad kindlaid prefikseid. Kaubanduslikud kliendid peidavad tavaliselt mõlemad märkeruudu ja sihtkoha tabeli taha, seega loe, millist neist tabel tegelikult muudab, enne kui sildile usaldad.
Küsimus ei ole selles, kuidas märkeruut on nime saanud. Küsimus on selles, mis juhtub paketiga, mille sihtkoht ei ole kummaski nimekirjas. Vasta sellele kirjalikult ja ülejäänud konfiguratsioon tuleneb sellest. Kui küsimuse vahele jätad, otsustab esimese seletamata tõrke see, kes sel päeval juhtub kliendile kõige lähemal olema.
Jälgi rakendust, mida keegi ei lisanud
Ainult kaasamisega lahenduses läheb see rakendus otse, kohalikus võrgus, kohaliku DNS-iga. Ainult väljajätmisega lahenduses läheb see tunnelist läbi, nii palju kui server lubab, ja just see on sageli vahe selle vahel, kas uus SaaS-tööriist töötab esimesel päeval, või selle vahel, et tuleb pilet väitega, et VPN rikkus selle ära.
Kumbki vaikeväärtus ei ole iseenesest turvalisem. Kaasamine kitsendab seda, mida tunnel kannab, ja teeb kohalikust võrgust väikseima vastupanu tee; väljajätmine võtab tunneli normaalseks teeks ja kohtleb erandeid eranditena, mis on lähemal sellele, mida enamik ettevõttepoliitikaid tegelikult silmas peab.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Pane tähele, millist tüüpi objekte platvorm loetleb
Androidi VpnService.Builder pakub lubatud ja keelatud rakenduste nimekirju kahe eraldi mudelina ning rakendusepõhised reeglid valivad paketi, mitte sihtkoha järgi. Sellisesse nimekirja pandud brauser kannab kaasa iga sihtkoha, mille ta avab, mis on marsruutimistabelist erinev detailsusaste ega suuda parandada üht katkist saiti töötava rakenduse sees.
Töölauakliendid segavad tavaliselt mõlemad tüübid ühte liidesse, seega kontrolli, kas lisatav rida on pakett, hostinimi või prefiks. Nad ebaõnnestuvad erineval moel ja neid lahendatakse erinevates kohtades. Hostinime rida muutub tavaliselt marsruudiks pluss nimeks, samas kui paketi rida muutub kliendi sees poliitikaotsuseks. Kirjuta üles, kummad kahest lisasid, sest hiljem siluja eeldab teist.
Testi rikkeolekut, mitte ainult õnnelikku teekonda
Tunnelist välja jäetud rakendus ei saa automaatselt puhast otsest juurdepääsu. Kui klient rakendab lisaks reeglit, mis blokeerib ilma VPN-ita, võib väljajäetud liiklus täielikult kõrvale heita, mis näeb välja nagu katkine rakendus, mitte nagu marsruutimisotsus. Testi seda juhtumit meelega, selle asemel et see kasutaja raportist teada saada.
Seejärel kontrolli DNS-i ja IPv6-t eraldi punktidena. Tunnel, mis kannab ainult IPv4, jätab v6-võimelisele rakendusele tee sellest mööda, ja jaotatud DNS otsustab, kas sisemised nimed lahendatakse liiklusele, mida üldse ei tunnelata. Käivita nimekirjas olev rakendus, nimekirjas mitteolev rakendus, nimepäring ja üks taasühendus ning hoia tulemused konfiguratsiooni juures.
Kirjuta vaikeväärtus sinna, kust järgmine inimene selle leiab
Kirjenda valitud vaikeväärtus, erandid ja see, kes nende eest vastutab, samas kohas kliendiprofiiliga, sest järgmine administraator lisab kirje seda põhjendust lugemata. Märgi iga erandi kuupäev ja põhjus, et aegunud erandi saaks kindlalt eemaldada saidil, mis on vahepeal parandatud. Põhjusteta nimekiri kasvab igavesti.
Kui keegi teatab ühest katkisest sihtkohast, muuda erandit, mitte baasjoont. Vaikeväärtuse ümberpööramine ühe saidi parandamiseks liigutab vaikselt iga nimekirjas mitteoleva rakenduse tunneli teisele poole.