Exception VPN pour le LAN domestique sur Android : mode opératoire pour un seul service

Vous voulez un service domestique joignable pendant que le VPN reste en vigueur pour tout le reste. Le réglage tentant est une exception de route locale qui couvre chaque adresse privée, et c’est le mauvais contrôle : sur le prochain réseau d’hôtel ou de café, elle peut transformer tout ce qui répond en contournement. Ce mode opératoire limite l’exception à un seul service et la prouve dans les transitions qui la cassent.

Définissez l’exception comme un service, pas comme un sous-réseau

Notez l’application, le nom d’hôte et l’adresse de destination, le protocole et le port, le réseau où elle est autorisée, et le contrôle d’identité que le service effectue lui-même. Sur un NAS authentifié, c’est le certificat ou le compte qui prouve que vous avez atteint la bonne machine. Une adresse en 192.168.0.0/16 ne prouve rien, car chaque routeur domestique distribue les mêmes préfixes.

Décidez aussi ce que veut dire proche. Un service sur un VLAN routé n’est pas sur le sous-réseau directement connecté au téléphone, et un Wi-Fi invité peut partager le même préfixe privé que la maison tout en étant une machine entièrement différente. L’exception doit nommer le service et l’environnement, pas seulement la plage d’adresses.

Vérifiez que le contrôle de la plateforme correspond à l’exigence

Le générateur de profil IKEv2 d’Android expose setLocalRoutesExcluded(true), et sa documentation exige un VPN contournable : l’exception n’a de sens que lorsque le client laisse le trafic contourner le tunnel. La même documentation avertit que le réseau sous-jacent peut fournir des routes qui affectent l’exception, c’est pourquoi le réglage suit le réseau que vous rejoignez, non celui auquel vous faites confiance.

Ce n’est pas non plus une promesse que chaque verrouillage ou configuration gérée laissera l’utilisateur activer la même exception. L’exception de route, l’indicateur de contournement et la politique de blocage de l’appareil sont des contrôles distincts, et un appareil géré peut interdire le troisième tout en autorisant les deux premiers. Vérifiez le profil installé et la politique de gestion avant de concevoir autour d’une case à cocher.

Mode opératoire : construire et appliquer l’exception

Étape 1 : créez le profil par la voie prise en charge pour le déploiement, soit la configuration gérée, soit le générateur client. Étape 2 : marquez le VPN comme contournable, car l’exception de route locale n’est pas effective sans cela. Étape 3 : activez l’exception de route locale. Étape 4 : laissez l’authentification propre au service et la validation du certificat actives ; l’exception porte sur le routage, pas sur la confiance. Étape 5 : enregistrez et reconnectez pour que le profil soit appliqué.

Le retour arrière suit le même chemin à l’envers : effacez l’exception, puis effacez le contournement, puis reconnectez. Ne corrigez pas une route ou un crochet de pare-feu directement sur l’appareil. Le démon réseau possède ces règles, et une règle manuelle peut manquer une autre famille d’adresses, une reconnexion ou une transition de réseau. Si la configuration installée ne peut pas exprimer la politique, gardez le blocage le plus strict jusqu’à ce que le propriétaire approuve une autre conception.

Testez les quatre cas qui comptent

Utilisez des requêtes inoffensives et notez le résultat attendu avant d’exécuter chaque cas. La matrice ci-dessous est le test d’acceptation, pas une suggestion : si un cas refusé réussit, l’exception est plus large que la politique.

Le cas 3 est celui qui attrape un large contournement de sous-réseau privé, et le cas 4 attrape un client qui n’a appliqué l’exception qu’à la connexion. Exécutez le cas 4 avec le VPN déconnecté et le téléphone passé au réseau mobile, puis reconnectez et confirmez que l’exception revient sans redémarrage. La référence de l’API de route locale indique l’exigence de contournement qui rend l’étape 2 obligatoire.

Consignez l’exception et révisez-la

Le registre tenu à jour doit nommer le service, l’environnement qui l’a justifié, le propriétaire et la date. Local décrit une relation de routage, pas un niveau de confiance, et le prochain réseau que le téléphone rejoint n’est pas celui où l’exception a été approuvée.

Révisez le registre après une mise à jour du système, une mise à jour du client ou un déménagement. Relancez le cas 3 à chaque renouvellement de l’exception, car un profil qui a un jour limité le contournement à un service peut être élargi par un seul changement par défaut.