Androidin kodin LANin VPN-poikkeus: ohje yhdelle palvelulle
Jätä pois vain hyväksymäsi kotipalvelu, älä kaikkia yksityisiä reittejä. Kirjoita käytäntö, käytä ohitettavaa VPN:ää ja testaa sitten vierasverkon vika.
Haluat yhden kotipalvelun saataville, kun VPN pysyy voimassa kaikelle muulle. Houkutteleva asetus on paikallisen reitin poikkeus, joka kattaa jokaisen yksityisen osoitteen, ja se on väärä hallinta: seuraavassa hotelli- tai kahvilaverkossa se voi muuttaa minkä tahansa vastaavan ohitukseksi. Tämä ohje rajaa poikkeuksen yhteen palveluun ja todentaa sen siirtymissä, jotka rikkovat sen.
Määritä poikkeus palveluksi, ei aliverkoksi
Kirjaa sovellus, kohteen isäntänimi ja osoite, protokolla ja portti, verkko jossa se on sallittu, sekä palvelun itsensä tekemä identiteettitarkistus. Todennusta käyttävässä NASissa sertifikaatti tai tili todistaa, että pääsit oikeaan koneeseen. Osoite 192.168.0.0/16 ei todista mitään, koska jokainen kotireititin jakaa samat etuliitteet.
Päätä myös, mitä lähellä tarkoittaa. Reititetyn VLANin palvelu ei ole puhelimen suoraan kytketyssä aliverkossa, ja vieras-Wi-Fi voi jakaa saman yksityisen etuliitteen kodin kanssa ja olla silti täysin eri kone. Poikkeuksen pitäisi nimetä palvelu ja ympäristö, ei vain osoitealue.
Varmista, että alustan hallinta vastaa vaatimusta
Androidin IKEv2-profiilin rakentaja tarjoaa setLocalRoutesExcluded(true), ja sen dokumentaatio vaatii ohitettavan VPN:n: poikkeus on mielekäs vain silloin, kun asiakas sallii liikenteen ohittaa tunnelin. Sama dokumentaatio varoittaa, että alla oleva verkko voi tarjota reittejä, jotka vaikuttavat poikkeukseen, siksi asetus seuraa verkkoa, johon liityt, ei verkkoa, johon luotat.
Se ei myöskään ole lupaus siitä, että jokainen lukitus tai hallittu kokoonpano sallii käyttäjän ottaa saman poikkeuksen käyttöön. Reittipoikkeus, ohituslippu ja laitteen estokäytäntö ovat erillisiä hallintoja, ja hallittu laite voi kieltää kolmannen salliessaan kaksi ensimmäistä. Tarkista asennettu profiili ja hallintakäytäntö ennen kuin suunnittelet valintaruudun ympärille.
Ohje: rakenna ja ota poikkeus käyttöön
Vaihe 1: luo profiili käyttöönoton tuetulla polulla, joko hallittu kokoonpano tai asiakasrakentaja. Vaihe 2: merkitse VPN ohitettavaksi, koska paikallisen reitin poikkeus ei toimi ilman sitä. Vaihe 3: ota paikallisen reitin poikkeus käyttöön. Vaihe 4: pidä palvelun oma todennus ja sertifikaatin vahvistus käytössä; poikkeus koskee reititystä, ei luottamusta. Vaihe 5: tallenna ja yhdistä uudelleen, jotta profiili tulee voimaan.
Palautus on sama polku käänteisesti: tyhjennä poikkeus, tyhjennä sitten ohitettavuus ja yhdistä uudelleen. Älä paikkaa reittiä tai palomuurikoukkua suoraan laitteeseen. Verkkodaemon omistaa ne säännöt, ja käsin tehty sääntö voi ohittaa toisen osoiteperheen, uudelleenyhdistämisen tai verkkosiirtymän. Jos asennettu kokoonpano ei voi ilmaista käytäntöä, pidä tiukempi esto, kunnes omistaja hyväksyy toisen suunnitelman.
Testaa neljä tärkeää tapausta
Käytä vaarattomia pyyntöjä ja kirjoita odotettu tulos ennen jokaisen tapauksen suorittamista. Alla oleva matriisi on hyväksymistesti, ei ehdotus: jos jokin estetty tapaus onnistuu, poikkeus on käytäntöä laajempi.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
Tapaus 3 nappaa laajan yksityisen aliverkon ohituksen ja tapaus 4 asiakkaan, joka sovelsi poikkeusta vain yhdistämisen yhteydessä. Suorita tapaus 4 VPN:n ollessa katkaistuna ja puhelimen siirrettynä matkapuhelinverkkoon, yhdistä sitten uudelleen ja varmista, että poikkeus palaa ilman uudelleenkäynnistystä. Paikallisen reitin API-viite ilmoittaa ohitettavuusvaatimuksen, joka tekee vaiheesta 2 pakollisen.
Kirjaa poikkeus ja katselmoi se
Ylläpidetyn tietueen pitäisi nimetä palvelu, sen perustellut ympäristö, omistaja ja päivämäärä. Paikallinen kuvaa reitityssuhdetta, ei luottamustasoa, eikä seuraava verkko, johon puhelin liittyy, ole se verkko, jossa poikkeus hyväksyttiin.
Katselmoi tietue käyttöjärjestelmän päivityksen, asiakaspäivityksen tai muuton jälkeen. Suorita tapaus 3 uudelleen aina, kun poikkeus uusitaan, koska profiili, joka kerran rajoitti ohituksen yhteen palveluun, voidaan laajentaa yhdellä oletusmuutoksella.