VPN-útsûndering foar thús-LAN op Android: rinfurde foar ien tsjinst
Slút allinnich de thústsjinste út dy’t jo goedkard hawwe, net alle privee-rûtes. Skriuw it belied, brûk in VPN dy’t omsylber is en test dan de flater fan it gastenettwurk.
Jo wolle ien thústsjinste berikber hawwe wylst it VPN foar al it oare fan krêft bliuwt. De ferloklike ynstelling is in útsûndering fan de lokale rûte dy’t elk privee-adres omfettet, en dat is de ferkearde kontrôle: op it folgjende hotel- of kafeenetwurk kin it alles wat antwurdet yn in omwei feroarje. Dizze rinfurde beheint de útsûndering ta ien tsjinst en bewiist dy ûnder de oergongen dy’t him brekke.
Beskriuw de útsûndering as in tsjinst, net as in subnet
Skriuw de app, de hostnamme en it adres fan it doel, it protokol en de poarte, it netwurk dêr’t it tastien is, en de identiteitskontrôle dy’t de tsjinst sels docht, op. Foar in NAS mei autentikaasje is it sertifikaat of it akkount dat bewiist dat jo de goede masine berikt hawwe. In adres yn 192.168.0.0/16 bewiist neat, om’t elke thúsrouter deselde foarheaksels útdielt.
Bepaal ek wat tichtby betsjut. In tsjinst op in rûtearre VLAN is net op it subnet dat streekrjocht oan’t tillefoan ferbûn is, en in gast-Wi-Fi kin itselde privee-foarheaksel as thús diele wylst it in hiel oare masine is. De útsûndering moat de tsjinst en it omjouwing neame, net allinnich it adresberik.
Kontrolearje dat de kontrôle fan it platfoarm by de eask past
De IKEv2-profylbouwer fan Android biedt setLocalRoutesExcluded(true), en syn dokumintaasje easket in omsylber VPN: de útsûndering hat allinnich betsjutting as de klient it ferkear by de tunnel lâns lit. Deselde dokumintaasje warskôget dat it ûnderlizzende netwurk rûtes leverje kin dy’t de útsûndering beynfloedzje, dêrom folget de ynstelling it netwurk dêr’t jo by komme, net it netwurk dêr’t jo op fertrouwe.
It is ek gjin tasizzing dat elke blokkade of behearderskonfiguraasje de brûker deselde útsûndering ynskeakelje lit. Rûte-útsûndering, de omsylberheidsflagge en it blokkearbelied fan it apparaat binne aparte kontrôles, en in beheard apparaat kin de tredde ferbiede wylst it de earste twa tastiet. Kontrolearje it ynstallearre profyl en it behear belied foardat jo om in oanfinkfak hinne ûntwerpe.
Rinfurde: bou en pas de útsûndering ta
Stap 1: meitsje it profyl oan fia it stipe paad foar de útrulling, itsij de behearde konfiguraasje, itsij de kliïntbouwer. Stap 2: markearje it VPN as omsylber, om’t de útsûndering fan de lokale rûte sûnder dat net wurket. Stap 3: skeakelje de útsûndering fan de lokale rûte yn. Stap 4: hâld de eigen autentikaasje fan de tsjinst en de sertifikaatkontrôle oan; de útsûndering giet oer rûtering, net oer fertrouwen. Stap 5: bewarje en ferbynje opnij sadat it profyl tapast wurdt.
Weromdraaie is itselde paad efterstfoar: wiskje de útsûndering, wiskje dan de omsylberheid, ferbynje dan opnij. Patch gjin rûte of fjoermuorreheak direkt op it apparaat. De netdaemon is eigner fan dy regels, en in hânmjittige regel kin in oare adresfamylje, in werferbining of in netoergong misse. As de ynstallearre konfiguraasje it belied net útdrukke kin, hâld dan de strangere blokkade oan oant de eigner in oar ûntwerp goedkart.
Test de fjouwer gefallen dy’t der ta dogge
Brûk harmless fersiken en skriuw it ferwachte resultaat op foardat jo elk gefal útfiere. De matriks hjirûnder is de akseptaasjetest, gjin suggestje: as in wegere gefal slagget, is de útsûndering breder as it belied.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
Gefal 3 is dejinge dy’t in brede omwei fan in privee-subnet fangt, en gefal 4 fangt in klient dy’t de útsûndering allinnich by it ferbinen tapaste. Fier gefal 4 út mei it VPN ôfkoppele en mei de tillefoan oerset nei it mobile netwurk, ferbynje dan opnij en befêstigje dat de útsûndering sûnder werstart weromkomt. De API-referinsje foar de lokale rûte neamt de omsylberheidseask dy’t stap 2 ferplichte makket.
Registrearje de útsûndering en besjoch dy
It byholden register moat de tsjinst, it omjouwing dat him rjochtfeardige, de eigner en de datum neame. Lokaal beskriuwt in rûteringsrelaasje, gjin fertrouwensnivo, en it folgjende netwurk dêr’t de tillefoan by komt is net it netwurk dêr’t de útsûndering goedkard waard.
Besjoch it register nei in OS-bywurking, in klientbywurking of in ferhuzing. Fier gefal 3 opnij út by elke fernijing fan de útsûndering, om’t in profyl dat de omwei ienris ta ien tsjinst beheinde, troch ien standertwiziging ferbrede wurde kin.