Allinnich ynslute of allinnich útslute: hokker standert?
Kies de standert foardat jo de list opbouwe: allinnich tunnelje wat jo neame, of alles tunnelje en útsûnderingen útsnije. Test dêrnei de app dy't nimmen opnaam hat.
Iepenje de routingseksje fan jo VPN-klant en jo sjogge twa oars foarme bedieningseleminten dy't faak itselde label drage. It iene freget jo de bestimmingen op te listjen dy't yn de tunnel hearre, en al it oare bliuwt it lokale netwurk brûken. It oare giet derfan út dat alles tunnelle wurdt en freget wat der wer út helle wurde moat. Beide jouwe jo by de earste test in wurkjende tunnel, en beide wurde ûnderhâlden troch rigels oan in list ta te foegjen, dêrom bliuwt it ferskil ûnsichtber oant immen iets nijs ynstallearret.
De kar is in standert, gjin funksje. Lis it fêst foardat de list tweintich regels hat.
Lês de standert fan de klant, net fan de brochure
WireGuard makket de beslissing bûtengewoan sichtber, omdat AllowedIPs in ynslutlist is en neat oars. In peer mei 0.0.0.0/0, ::/0 tunnellet alles; in peer mei 10.20.0.0/16 tunnellet allinnich dat. Der is gjin útslutingssyntaksis, dus as jo ien subnet weilitte wolle, moatte jo alle oare prefiksen opnimme of bûten de ynterface policy-routing tafoegje.
OpenVPN berikt itselde plak út de oare rjochting, mei redirect-gateway def1 dat in folsleine tunnel ynstallearret en eksplisite route-rjochtlinen dy't spesifike prefiksen tafoegje of oerskriuwe. Kommersjele klanten ferstopje beide meast efter in kontrôlefakje en in bestimmingstabel, dus lês hokker fan de twa de tabel echt bewurket foardat jo it label fertrouwe.
De fraach is net hoe't it kontrôlefakje hjit. De fraach is wat der bart mei in pakket wêrfan't de bestimming yn gjin fan beide listen stiet. Beändwurdzje dat op papier, en de rest fan de konfiguraasje folget dêrút. Wa't de fraach oerslacht, lit de earste ûnferklearre steuring beslisse troch wa't dy deis it tichtst by de klant sit.
Folchje in applikaasje dy't nimmen opnaam hat
Yn in ûntwerp mei allinnich ynslute giet dy applikaasje direkt, oer it lokale netwurk, mei de lokale DNS. Yn in ûntwerp mei allinnich útslute giet er troch de tunnel, foarsafier't de server it tastiet, en dat is faak it ferskil tusken in nij SaaS-ark dat op de earste dei wurket en in kaartsje dat seit dat de VPN it stik makke hat.
Gjin fan beide standerts is op himsels feiliger. Ynslute beheint wat de tunnel draacht en makket it lokale netwurk de wei fan de minste wjerstân; útslute nimt de tunnel as de normale wei en behannelet útsûnderingen as útsûnderingen, wat tichterby komt by wat de measte bedriuwsbeliedden eins bedoele.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Tink derop watfoar soarte objekt it platfoarm listet
De VpnService.Builder fan Android biedt in list tastiene en in list ferbeane applikaasjes as twa aparte modellen, en app-regels kieze op pakket yn plak fan op bestimming. In browser yn sa'n list draacht elke bestimming mei dy't er iepenet, wat in oare korrelgrutte is as in routetabel en ien stikken side binnen in wurkjende app net reparearje kin.
Desktopklanten minge beide soarten meast yn ien ynterface, dus kontrolearje oft de rige dy't jo tafoegje in pakket, in hostnamme of in prefiks is. Se mislearje op ferskillende manieren en se wurde op ferskillende plakken oplost. In hostnammerige wurdt meast in rûte plus in namme, wylst in pakketrige in beliedsbeslissing yn de klant wurdt. Skriuw op hokker fan de twa jo tafoege hawwe, want wa't it letter debugt, sil de oare oannimme.
Test de flatertastân, net allinnich it lokkige paad
In applikaasje dy't fan de tunnel útsletten is, krijt net automatysk skjinne direkte tagong. As de klant ek in regel ôftwingt dy't sûnder VPN blokket, kin it útsletten ferkear hielendal weilitten wurde, wat as in stikken app liket yn plak fan in routingbeslissing. Test dat gefal bewust yn plak fan it út in brûkersrapport te ûntdekken.
Kontrolearje dan DNS en IPv6 as aparte punten. In tunnel dy't allinnich IPv4 draacht, lit in v6-bekwame applikaasje in paad deromhinne, en split-DNS beslút oft ynterne nammen oplost wurde foar ferkear dat hielendal net tunnelle wurdt. Rin in app fan de list, in app dy't net op de list stiet, in nammesyksjen en ien werferbining, en bewarje de resultaten by de konfiguraasje.
Skriuw de standert op wêr't de folgjende persoan him fine sil
Fêstlizze de keazen standert, de útsûnderingen en wa't se besit op itselde plak as it klantprofyl, want de folgjende behearder foeget in ytem ta sûnder dizze redenearring te lêzen. Noteaarje de datum en de reden fan elke útsûndering, sadat in ferâldere útsûndering foar in side dy't yntusken reparearre is mei fertrouwen fuorthelle wurde kin. In list sûnder redenen groeit foar altyd.
As immen ien stikken bestimming rapportearret, feroarje dan de útsûndering en net de basisline. De standert omdraaie om ien side te reparearjen ferpleatst stilwei elke net-listige applikaasje nei de oare kant fan de tunnel.