Android etxeko LANaren VPN salbuespena: zerbitzu bakarrerako prozedura
Onartu duzun etxeko zerbitzua bakarrik utzi kanpoan, ez bide pribatu guztiak. Idatzi politika, erabili saihestu daitekeen VPN bat eta gero probatu gonbidatuen sarearen hutsegitea.
Etxeko zerbitzu bat eskuragarri nahi duzu, VPNak beste guztiarentzat indarrean jarraitzen duen bitartean. Ezarpen tentagarria helbide pribatu guztiak hartzen dituen bide lokalaren salbuespena da, eta hori da kontrol okerra: hurrengo hotel edo kafetegi sarean erantzuten duen edozer saihesbide bihur dezake. Prozedura honek salbuespena zerbitzu bakarrera mugatzen du eta hura hausten duten trantsizioetan frogatzen du.
Definitu salbuespena zerbitzu gisa, ez azpisare gisa
Idatzi aplikazioa, helmugako ostalari-izena eta helbidea, protokoloa eta ataka, onartuta dagoen sarea, eta zerbitzuak berak egiten duen identitate-egiaztapena. Autentifikazioa duen NAS batean, ziurtagiria edo kontua da makin zuzena lortu duzula frogatzen duena. 192.168.0.0/16 barruko helbide batek ez du ezer frogatzen, etxeko router bakoitzak aurrizki berak banatzen baititu.
Erabaki ere zer esan nahi duen hurbil. Bideratutako VLAN bateko zerbitzua ez dago telefonora zuzenean konektatutako azpisarean, eta gonbidatuen Wi-Fik etxebizitzarekin aurrizki pribatu bera parteka dezake, baina guztiz beste makina bat izan. Salbuespenak zerbitzuaren eta ingurunearen izena eman behar du, ez soilik helbide-tartea.
Egiaztatu plataformaren kontrolak baldintzari erantzuten diola
Androideko IKEv2 profil-eraikitzaileak setLocalRoutesExcluded(true) eskaintzen du, eta haren dokumentazioak saihestu daitekeen VPN bat eskatzen du: salbuespenak zentzua du soilik bezeroak trafikoari tunela saihesten uzten dionean. Dokumentazio berak ohartarazten du azpiko sareak salbuespenari eragiten dioten bideak eman ditzakeela, horregatik ezarpenak sartzen zaren sarea jarraitzen du, konfiantza duzun sarea ez ezik.
Ez da, halaber, blokeo edo konfigurazio kudeatu bakoitzak erabiltzaileari salbuespen bera gaitzeko baimena emango dion promesa. Bidearen salbuespena, saihesteko bandera eta gailuaren blokeo-politika kontrol bereiziak dira, eta gailu kudeatu batek hirugarrena debeka dezake lehen biak onartzen dituen bitartean. Egiaztatu instalatutako profila eta kudeaketa-politika kontrol-lauki baten inguruan diseinatu aurretik.
Prozedura: eraiki eta aplikatu salbuespena
1. urratsa: sortu profila inplementaziorako onartutako bidearen bidez, konfigurazio kudeatua edo bezeroaren eraikitzailea. 2. urratsa: markatu VPNa saihestu daitekeen gisa, bide lokalaren salbuespena hori gabe ez baita eraginkorra. 3. urratsa: gaitu bide lokalaren salbuespena. 4. urratsa: mantendu zerbitzuaren beraren autentifikazioa eta ziurtagiriaren balidazioa gaituta; salbuespena bideratzeaz ari da, ez konfiantzaz. 5. urratsa: gorde eta berriz konektatu profila aplikatzeko.
Itzulera bidea alderantzizkoa da: garbitu salbuespena, gero garbitu saihestea, gero berriz konektatu. Ez adabaki biderik edo suebaki-kakorik zuzenean gailuan. Sarearen daemonak arau horien jabe da, eta eskuzko arau batek beste helbide-familia bat, birkonexio bat edo sare-trantsizio bat gal dezake. Instalatutako konfigurazioak politika adierazten ez badu, mantendu blokeorik zorrotzena jabeak beste diseinu bat onartu arte.
Probatu garrantzizko lau kasuak
Erabili eskaera kaltegabeak eta idatzi espero den emaitza kasu bakoitza exekutatu aurretik. Beheko matrizea onarpen-proba da, ez iradokizun bat: ukatutako edozein kasu arrakastatsua bada, salbuespena politikak baino zabalagoa da.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
3. kasuak azpisare pribatuaren saihesbide zabala harrapatzen du, eta 4. kasuak salbuespena konektatzean soilik aplikatu zuen bezeroa harrapatzen du. Exekutatu 4. kasua VPN deskonektatuta eta telefonoa sare mugikorrera aldatu ondoren, gero berriz konektatu eta egiaztatu salbuespena berrabiarazi gabe itzultzen dela. Bide lokalaren API erreferentziak 2. urratsa derrigorrezkoa egiten duen saiheste-baldintza aipatzen du.
Erregistratu salbuespena eta berrikusi
Mantendutako erregistroak zerbitzuaren, hura justifikatu zuen ingurunearen, jabearen eta dataren izena eman behar du. Lokalak bideratze-harremana deskribatzen du, ez konfiantza-maila, eta telefonak bat egingo duen hurrengo sarea ez da salbuespena onartu zen sarea.
Berrikusi erregistroa sistema-eragilearen eguneratzearen, bezeroaren eguneratzearen edo lekualdaketaren ondoren. Exekutatu berriro 3. kasua salbuespena berritzen den bakoitzean, behin saihesbidea zerbitzu bakarrera mugatu zuen profila lehenetsitako aldaketa bakar batekin zabaldu baitaiteke.