Vain sisällytys vai vain poissulku: kumpi oletukseksi?
Valitse oletus ennen kuin rakennat listan: tunneloi vain se minkä nimeät, tai tunneloi kaikki ja leikkaa poikkeukset irti. Testaa sitten sovellus, jota kukaan ei ollut lisännyt.
Avaa VPN-asiakasohjelmasi reititysosio, ja näet kaksi eri muotoista säädintä, joissa on usein sama nimi. Toinen pyytää luettelemaan kohteet, jotka kuuluvat tunneliin, ja kaikki muu jatkaa paikallisverkon käyttöä. Toinen olettaa, että kaikki kulkee tunnelin kautta, ja kysyy, mikä pitäisi leikata takaisin ulos. Molemmat antavat ensimmäisessä testissä toimivan tunnelin, ja molempia ylläpidetään lisäämällä rivejä listaan, minkä vuoksi ero pysyy näkymättömänä, kunnes joku asentaa jotain uutta.
Valinta on oletus, ei ominaisuus. Lyö se lukkoon ennen kuin listassa on kaksikymmentä riviä.
Lue oletus asiakasohjelmasta, älä esitteestä
WireGuard tekee päätöksestä poikkeuksellisen näkyvän, koska AllowedIPs on sisällytyslista eikä mitään muuta. Vertaispiste, jossa on 0.0.0.0/0, ::/0, tunneloi kaiken; vertaispiste, jossa on 10.20.0.0/16, tunneloi vain sen. Poissulkusyntaksia ei ole, joten jos haluat jättää yhden aliverkon pois, sinun on joko lueteltava kaikki muut etuliitteet tai lisättävä käytäntöreititys rajapinnan ulkopuolelle.
OpenVPN päätyy samaan paikkaan toisesta suunnasta, kun redirect-gateway def1 asentaa täyden tunnelin ja eksplisiittiset route-direktiivit lisäävät tai ohittavat tiettyjä etuliitteitä. Kaupalliset asiakasohjelmat piilottavat yleensä molemmat valintaruudun ja kohdetaulukon taakse, joten lue, kumpaa taulukko todella muokkaa, ennen kuin luotat nimeen.
Kysymys ei ole siitä, miksi valintaruutua kutsutaan. Kysymys on siitä, mitä tapahtuu paketille, jonka kohde ei ole kummassakaan listassa. Vastaa siihen kirjallisesti, ja muu kokoonpano seuraa siitä. Jos ohitat kysymyksen, ensimmäisen selittämättömän vian ratkaisee se, joka sattuu sinä päivänä istumaan lähimpänä asiakasohjelmaa.
Seuraa sovellusta, jota kukaan ei lisännyt
Vain sisällytykseen perustuvassa mallissa kyseinen sovellus kulkee suoraan paikallisverkossa paikallisella DNS:llä. Vain poissulkuun perustuvassa mallissa se kulkee tunnelin kautta, sen mukaan mitä palvelin sallii, ja juuri se on usein ero sen välillä, toimiiko uusi SaaS-työkalu ensimmäisenä päivänä, ja sen välillä, että tulee tiketti, jonka mukaan VPN rikkoi sen.
Kumpikaan oletus ei ole itsessään turvallisempi. Sisällytys kaventaa sitä, mitä tunneli kuljettaa, ja tekee paikallisverkosta vähimmän vastuksen reitin; poissulku pitää tunnelia normaalina reittinä ja kohtelee poikkeuksia poikkeuksina, mikä on lähempänä sitä, mitä useimmat yrityskäytännöt todella tarkoittavat.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Huomaa, minkä tyyppisiä objekteja alusta luettelee
Androidin VpnService.Builder tarjoaa sallittujen ja kiellettyjen sovellusten listat kahtena erillisenä mallina, ja sovelluskohtaiset säännöt valitsevat paketin eikä kohteen perusteella. Selaimen lisääminen tällaiseen listaan kuljettaa mukanaan jokaisen kohteen, jonka se avaa, mikä on eri tarkkuustaso kuin reititystaulukko eikä voi korjata yhtä rikkinäistä sivustoa toimivan sovelluksen sisällä.
Työpöytäasiakkaat sekoittavat yleensä molemmat tyypit yhteen käyttöliittymään, joten tarkista, onko lisäämäsi rivi paketti, isäntänimi vai etuliite. Ne epäonnistuvat eri tavoin ja ne ratkaistaan eri paikoissa. Isäntänimirivistä tulee yleensä reitti ja nimi, kun taas pakettirivistä tulee käytäntöpäätös asiakasohjelman sisällä. Kirjoita muistiin, kumman lisäsit, sillä myöhemmin vianetsijä olettaa toisen.
Testaa virhetila, älä vain onnistunutta polkua
Tunnelista poissuljettu sovellus ei saa automaattisesti puhdasta suoraa yhteyttä. Jos asiakasohjelma lisäksi valvoo sääntöä, joka estää ilman VPN:ää, poissuljettu liikenne voidaan pudottaa kokonaan, mikä näyttää rikkinäiseltä sovellukselta eikä reitityspäätökseltä. Testaa se tapaus tarkoituksella sen sijaan, että oppisit siitä käyttäjän raportista.
Tarkista sitten DNS ja IPv6 erillisinä kohtina. Tunneli, joka kuljettaa vain IPv4:tä, jättää v6-kykyiselle sovellukselle reitin sen ohi, ja jaettu DNS ratkaisee, selvitetäänkö sisäiset nimet liikenteelle, jota ei tunneloida lainkaan. Aja listattu sovellus, listaamaton sovellus, nimikysely ja yksi uudelleenyhteys, ja säilytä tulokset kokoonpanon yhteydessä.
Kirjoita oletus muistiin sinne, mistä seuraava henkilö löytää sen
Kirjaa valittu oletus, poikkeukset ja niiden omistajat samaan paikkaan kuin asiakasprofiili, koska seuraava ylläpitäjä lisää rivin lukematta tätä perustelua. Merkitse jokaisen poikkeuksen päivämäärä ja syy, jotta vanhentunut poikkeus sellaiselle sivustolle, joka on sittemmin korjattu, voidaan poistaa luottavaisesti. Lista ilman syitä kasvaa ikuisesti.
Kun joku raportoi yhdestä rikkinäisestä kohteesta, muuta poikkeusta äläkä perustasoa. Oletuksen kääntäminen yhden sivuston korjaamiseksi siirtää hiljaa jokaisen listaamattoman sovelluksen tunnelin toiselle puolelle.