استثنای VPN برای شبکه خانگی در اندروید: دستورالعمل یک سرویس
فقط سرویس خانگی تأییدشده را مستثنا کنید، نه همه مسیرهای خصوصی. خط‌مشی را بنویسید، از VPN قابل‌عبور استفاده کنید و سپس خرابی شبکه مهمان را آزمایش کنید.
می‌خواهید یک سرویس خانگی در دسترس باشد در حالی که VPN برای بقیه معتبر می‌ماند. تنظیم وسوسه‌انگیز، استثنای مسیر محلی است که هر نشانی خصوصی را پوشش می‌دهد، و این کنترل نادرست است: در شبکه بعدی هتل یا کافه می‌تواند هر چیزی که پاسخ می‌دهد را به مسیر عبور تبدیل کند. این دستورالعمل استثنا را به یک سرویس محدود می‌کند و آن را زیر گذارهایی که می‌شکنند اثبات می‌کند.
استثنا را به عنوان سرویس تعریف کنید، نه زیرشبکه
برنامه، نام میزبان و نشانی مقصد، پروتکل و درگاه، شبکه‌ای که در آن مجاز است، و بررسی هویتی که خود سرویس انجام می‌دهد را ثبت کنید. در NAS با احراز هویت، گواهی یا حساب ثابت می‌کند که به دستگاه درست رسیده‌اید. نشانی در 192.168.0.0/16 چیزی را ثابت نمی‌کند، زیرا هر روتر خانگی همان پیشوندها را توزیع می‌کند.
همچنین تعیین کنید نزدیک چه معنایی دارد. سرویس روی VLAN مسیریابی‌شده در زیرشبکه متصل مستقیم به گوشی نیست، و Wi-Fi مهمان می‌تواند همان پیشوند خصوصی خانه را به اشتراک بگذارد و در همان حال دستگاهی کاملاً متفاوت باشد. استثنا باید سرویس و محیط را نام ببرد، نه فقط محدوده نشانی را.
تأیید کنید که کنترل پلتفرم با نیاز مطابقت دارد
سازنده پروفایل IKEv2 اندروید setLocalRoutesExcluded(true) را ارائه می‌دهد و مستندات آن VPN قابل‌عبور را الزامی می‌کند: استثنا تنها زمانی معنا دارد که کلاینت اجازه دهد ترافیک از تونل عبور کند. همان مستندات هشدار می‌دهد که شبکه زیرین می‌تواند مسیرهایی فراهم کند که بر استثنا اثر می‌گذارند، به همین دلیل تنظیم از شبکه‌ای که به آن می‌پیوندید پیروی می‌کند، نه شبکه‌ای که به آن اعتماد دارید.
همچنین وعده‌ای نیست که هر قفل یا پیکربندی مدیریت‌شده به کاربر اجازه فعال کردن همان استثنا را بدهد. استثنای مسیر، پرچم قابل‌عبور بودن و سیاست مسدودسازی دستگاه کنترل‌های جداگانه‌اند و دستگاه مدیریت‌شده می‌تواند سومی را ممنوع کند و دو مورد اول را مجاز بداند. پیش از طراحی حول یک جعبه انتخاب، پروفایل نصب‌شده و سیاست مدیریت را بررسی کنید.
دستورالعمل: استثنا را بسازید و اعمال کنید
گام 1: پروفایل را از مسیر پشتیبانی‌شده برای استقرار بسازید، خواه پیکربندی مدیریت‌شده خواه سازنده کلاینت. گام 2: VPN را قابل‌عبور علامت بزنید، زیرا استثنای مسیر محلی بدون آن کار نمی‌کند. گام 3: استثنای مسیر محلی را فعال کنید. گام 4: احراز هویت خود سرویس و اعتبارسنجی گواهی را فعال نگه دارید؛ استثنا درباره مسیریابی است، نه اعتماد. گام 5: ذخیره کنید و دوباره متصل شوید تا پروفایل اعمال شود.
بازگشت همان مسیر به صورت معکوس است: استثنا را پاک کنید، سپس قابل‌عبور بودن را پاک کنید، سپس دوباره متصل شوید. مسیر یا قلاب دیوار آتش را مستقیماً روی دستگاه وصله نکنید. دیمن شبکه صاحب آن قواعد است و یک قاعده دستی می‌تواند خانواده نشانی دیگر، اتصال مجدد یا گذار شبکه را از دست بدهد. اگر پیکربندی نصب‌شده نمی‌تواند سیاست را بیان کند، مسدودسازی سخت‌گیرانه‌تر را نگه دارید تا مالک طرح دیگری را تأیید کند.
چهار مورد مهم را آزمایش کنید
از درخواست‌های بی‌خطر استفاده کنید و پیش از اجرای هر مورد نتیجه مورد انتظار را بنویسید. ماتریس زیر آزمون پذیرش است، نه پیشنهاد: اگر هر مورد ردشده موفق شود، استثنا گسترده‌تر از سیاست است.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
مورد 3 همانی است که عبور گسترده زیرشبکه خصوصی را می‌گیرد، و مورد 4 کلاینتی را می‌گیرد که استثنا را فقط هنگام اتصال اعمال کرده است. مورد 4 را با VPN قطع‌شده و با گوشی منتقل‌شده به شبکه موبایل اجرا کنید، سپس دوباره متصل شوید و تأیید کنید که استثنا بدون راه‌اندازی مجدد بازمی‌گردد. مرجع API مسیر محلی شرط قابل‌عبور بودن را بیان می‌کند که گام 2 را اجباری می‌کند.
استثنا را ثبت و بازبینی کنید
رکورد نگهداری‌شده باید سرویس، محیطی که آن را توجیه کرده، مالک و تاریخ را نام ببرد. محلی رابطه مسیریابی را توصیف می‌کند، نه سطح اعتماد، و شبکه بعدی که گوشی به آن می‌پیوندد همان شبکه‌ای نیست که استثنا در آن تأیید شده است.
رکورد را پس از به‌روزرسانی سیستم‌عامل، به‌روزرسانی کلاینت یا جابه‌جایی بازبینی کنید. هر بار که استثنا تمدید می‌شود مورد 3 را دوباره اجرا کنید، زیرا پروفایلی که زمانی عبور را به یک سرویس محدود کرده بود می‌تواند با یک تغییر پیش‌فرض گسترده شود.