Bakarrik sartzea edo bakarrik kanporatzea: zein lehenetsi?
Aukeratu lehenetsia zerrenda eraiki aurretik: bideratu soilik izendatzen duzuna, edo bideratu dena eta moztu salbuespenak. Ondoren probatu inork gehitu ez zuen aplikazioa.
Ireki zure VPN bezeroaren bideratze atala eta forma desberdineko bi kontrol ikusiko dituzu, sarritan etiketa bera daramatena. Batek tunelera doazen helmugak zerrendatzeko eskatzen dizu, eta gainerako guztiak sare lokalak erabiltzen jarraitzen du. Besteak dena tunelatik doanela suposatzen du eta zer moztu behar den galdetzen du. Biek tunel funtzionala ematen dizute lehen proban, eta biak zerrendari lerroak gehituta mantentzen dira, eta horregatik diferentzia ikusezin geratzen da norbaitek zerbait berria instalatzen duen arte.
Aukera lehenetsi bat da, ez funtzio bat. Finkatu zerrendak hogei sarrera izan aurretik.
Irakurri lehenetsia bezeroan, ez liburuxkan
WireGuardek erabakia ohikoa ez den bezain ikusgai uzten du, AllowedIPs sartze-zerrenda bat delako eta besterik ez. 0.0.0.0/0, ::/0 duen peer batek dena tunelatzen du; 10.20.0.0/16 duen peer batek hori soilik. Ez dago baztertze-sintaxirik, beraz azpisare bat kanpoan utzi nahi baduzu, gainerako aurrizki guztiak zerrendatu behar dituzu edo interfazeaz kanpoko politika-bideratzea gehitu.
OpenVPN beste norabidetik iristen da leku berera, redirect-gateway def1 tunel oso bat instalatzen duela eta route direktiba esplizituek aurrizki zehatzak gehitzen edo gainidazten dituztela. Bezero komertzialek biak izkutatzen dituzte normalean kontrol-lauki baten eta helmuga-taula baten atzean, beraz irakurri taulak zein aldatzen duen benetan etiketari fidatu aurretik.
Galdera ez da kontrol-laukiaren izena. Galdera da zer gertatzen zaion bi zerrendetan agertzen ez den helmuga duen pakete bati. Erantzun hori idatziz, eta gainerako konfigurazioa hortik dator. Galdera saltatzen baduzu, azaldu gabeko lehen hutsegitea egun horretan bezeroari hurbilen dagoenak erabakiko du.
Jarraitu inork gehitu ez zuen aplikazio bat
Sartze soilaren diseinuan aplikazio hori zuzenean doa, sare lokalean, DNS lokalarekin. Kanporatze soilaren diseinuan tunelatik doa, zerbitzariak uzten duen neurrian, eta hori izan ohi da SaaS tresna berri batek lehen egunean funtzionatzen duen ala VPNak hondatu zuenetz dioen txartela iristen den arteko aldea.
Bi lehenetsiak ez dira seguruagoak berez. Sartzeak murrizten du tunelak daramana eta sare lokala erresistentzia gutxieneko bidea bihurtzen du; kanporatzeak tunela hartzen du bide normal gisa eta salbuespenak salbuespen gisa tratatzen ditu, eta hori gertuago dago korporazio-politika gehienek benetan esan nahi dutenetik.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Ohartu plataformak zer objektu mota zerrendatzen duen
Androiden VpnService.Builderek baimendutako eta debekatutako aplikazioen zerrendak bi eredu bereizi gisa eskaintzen ditu, eta aplikazioko arauek paketearen arabera aukeratzen dute, ez helmugaren arabera. Horrelako zerrenda batean jarritako nabigatzaileak irekitzen duen helmuga bakoitza darama, eta hori bideratze-taularen xehetasun maila ezberdina da, eta ezin du aplikazio bat funtzionatzen ari den bitartean gune hautsia konpondu.
Mahaigaineko bezeroek bi motak interfaze bakarrean nahasten dituzte normalean, beraz egiaztatu ea gehitzen ari zaren errenkada pakete bat, ostalari-izen bat edo aurrizki bat den. Modu desberdinetan huts egiten dute eta leku desberdinetan konpontzen dira. Ostalari-izen errenkada bat bidea gehi izen bat izaten da normalean, eta pakete errenkada bat bezeroaren barruko politika-erabaki bihurtzen da. Idatzi zein gehitu duzun, geroago arazten duenak bestea suposatuko baitu.
Probatu hutsegite-egoera, ez soilik bide zoriontsua
Tunelatik kanporatutako aplikazio batek ez du automatikoki sarbide zuzen garbirik lortzen. Bezeroak VPNrik gabe blokeatzen duen araua ere ezartzen badu, kanporatutako trafikoa guztiz bazter daiteke, eta hori aplikazio hautsi bat ematen du, ez bideratze-erabaki bat. Proba ezazu kasu hori nahita, erabiltzaile baten txostenetik jakin beharrean.
Ondoren egiaztatu DNSa eta IPv6a puntu bereizi gisa. IPv4 soilik daraman tunel batek v6 gaitasuna duen aplikazioari inguruko bidea uzten dio, eta DNS zatituak erabakitzen du barne-izenak tunelatik batere igarotzen ez den trafikoarentzat ebazten diren. Exekutatu zerrendatutako aplikazio bat, zerrendatu gabeko aplikazio bat, izen-kontsulta bat eta berriz konektatze bat, eta gorde emaitzak konfigurazioarekin batera.
Idatzi lehenetsia hurrengo pertsonak aurkituko duen tokian
Erregistratu aukeratutako lehenetsia, salbuespenak eta horien arduraduna bezeroaren profilean bertan, hurrengo administratzaileak sarrera bat gehituko baitu arrazoibide hau irakurri gabe. Idatzi salbuespen bakoitzaren data eta arrazoia, geroago konpondu den gune baterako zaharkituta dagoen salbuespena ziurtasunez kendu ahal izateko. Arrazoirik gabeko zerrenda betiko hazten da.
Norbaitek helmuga hautsia bakarra salatzen duenean, aldatu salbuespena eta ez oinarri-lerroa. Lehenetsia iraultzea gune bakarra konpontzeko isilpean eramaten du zerrendatu gabeko aplikazio bakoitza tunelaren beste aldera.