Excepción de VPN para a LAN da casa en Android: guía para un só servizo

Queredes un servizo da casa accesible mentres a VPN segue vixente para todo o demais. O axuste tentador é unha excepción de ruta local que cobre cada enderezo privado, e ese é o control equivocado: na seguinte rede de hotel ou cafetería pode converter en vía de elusión calquera cousa que responda. Esta guía limita a excepción a un só servizo e demóstraa nas transicións que a rompen.

Definide a excepción como servizo, non como subrede

Anotade a aplicación, o nome de host e o enderezo de destino, o protocolo e o porto, a rede onde se permite e a comprobación de identidade que fai o propio servizo. Nun NAS con autenticación, o certificado ou a conta é o que demostra que chegastes á máquina correcta. Un enderezo en 192.168.0.0/16 non demostra nada, porque cada router da casa reparte os mesmos prefixos.

Decidide tamén que significa preto. Un servizo nun VLAN encamiñado non está na subrede conectada directamente ao teléfono, e un Wi-Fi de convidados pode compartir o mesmo prefixo privado que a casa e ser unha máquina completamente distinta. A excepción debe nomear o servizo e a contorna, non só o rango de enderezos.

Confirmade que o control da plataforma encaixa co requisito

O xerador de perfís IKEv2 de Android expón setLocalRoutesExcluded(true), e a súa documentación esixe unha VPN que se poida eludir: a excepción só ten sentido cando o cliente permite que o tráfico evite o túnel. A mesma documentación advirte de que a rede subxacente pode fornecer rutas que afectan a excepción, por iso o axuste segue a rede á que vos unides, non a rede na que confiades.

Nin sequera é unha promesa de que cada bloqueo ou configuración xestionada deixe ao usuario activar a mesma excepción. A excepción de ruta, o indicador de elusión e a política de bloqueo do dispositivo son controis separados, e un dispositivo xestionado pode prohibir o terceiro mentres permite os dous primeiros. Comprobade o perfil instalado e a política de xestión antes de deseñar arredor dunha caixa de verificación.

Guía: construíde e aplicade a excepción

Paso 1: creade o perfil pola vía admitida para o despregamento, sexa a configuración xestionada sexa o xerador de cliente. Paso 2: marcade a VPN como eludible, porque a excepción de ruta local non é efectiva sen iso. Paso 3: activade a excepción de ruta local. Paso 4: mantede activas a autenticación propia do servizo e a validación do certificado; a excepción trata do encamiñamento, non da confianza. Paso 5: gardade e reconectade para que se aplique o perfil.

A reversión é o mesmo camiño ao revés: limpade a excepción, despois limpade a elusión e despois reconectade. Non parcheedes unha ruta nin un gancho de devasas directamente no dispositivo. O daemon de rede posúe esas regras, e unha regra manual pode perder outra familia de enderezos, unha reconexión ou unha transición de rede. Se a configuración instalada non pode expresar a política, mantede o bloqueo máis estrito ata que o propietario aprobe outro deseño.

Probade os catro casos que importan

Usade peticións inocuas e anotade o resultado esperado antes de executar cada caso. A matriz de abaixo é a proba de aceptación, non unha suxestión: se algún caso denegado ten éxito, a excepción é máis ampla que a política.

O caso 3 é o que atrapa unha elusión ampla de subrede privada, e o caso 4 atrapa un cliente que só aplicou a excepción ao conectar. Executade o caso 4 coa VPN desconectada e co teléfono pasado á rede móbil, logo reconectade e confirmade que a excepción volve sen reiniciar. A referencia da API de ruta local indica o requisito de elusión que fai que o paso 2 non sexa opcional.

Rexistrade a excepción e revisádea

O rexistro mantido debe nomear o servizo, a contorna que o xustificou, o propietario e a data. Local describe unha relación de encamiñamento, non un nivel de confianza, e a próxima rede á que se una o teléfono non é a rede onde se aprobou a excepción.

Revisade o rexistro tras unha actualización do sistema, unha actualización do cliente ou unha mudanza. Volvede executar o caso 3 cada vez que se renove a excepción, porque un perfil que unha vez limitou a elusión a un servizo pode ampliarse cun só cambio predeterminado.