Só inclusión ou só exclusión: que opción por defecto?
Escolle o valor por defecto antes de construír a lista: tuneliza só o que nomees, ou tuneliza todo e recorta as excepcións. Despois proba a aplicación que ninguén engadira.
Abre a sección de encamiñamento do teu cliente VPN e ves dous controis de forma distinta que a miúdo levan a mesma etiqueta. Un pídeche que listes os destinos que pertencen ao túnel, e todo o demais segue usando a rede local. O outro dá por feito que todo vai polo túnel e pregunta que hai que recortar. Ambos dan un túnel funcional na primeira proba, e ambos se manteñen engadindo liñas a unha lista, e por iso a diferenza segue sendo invisible ata que alguén instala algo novo.
A escolla é un valor por defecto, non unha función. Decídea antes de que a lista teña vinte entradas.
Ler o valor por defecto no cliente, non no folleto
WireGuard fai a decisión inusualmente visible, porque AllowedIPs é unha lista de inclusión e nada máis. Un par con 0.0.0.0/0, ::/0 tuneliza todo; un par con 10.20.0.0/16 tuneliza só iso. Non existe sintaxe de exclusión, así que para deixar fóra unha subrede tes que enumerar todos os demais prefixos ou engadir encamiñamento por políticas fóra da interface.
OpenVPN chega ao mesmo punto desde o outro lado, con redirect-gateway def1 instalando un túnel completo e directivas route explícitas que engaden ou sobrescriben prefixos concretos. Os clientes comerciais adoitan agachar ambos detrás dunha caixa de selección e dunha táboa de destinos, así que le cal dos dous edita realmente a táboa antes de confiar na etiqueta.
A pregunta non é como se chama a caixa de selección. A pregunta é que lle acontece a un paquete cuxo destino non aparece en ningunha das dúas listas. Responde iso por escrito, e o resto da configuración séguese de aí. Se saltas a pregunta, o primeiro fallo sen explicación decidirao quen ese día estea máis preto do cliente.
Seguir unha aplicación que ninguén engadiu
Nun deseño de só inclusión esa aplicación vai directa, pola rede local, co DNS local. Nun deseño de só exclusión pasa polo túnel, segundo o que permita o servidor, e adoita ser esa a diferenza entre unha ferramenta SaaS nova que funciona o primeiro día e unha incidencia que di que a VPN a estragou.
Ningún dos dous valores é máis seguro por si só. A inclusión restrinxe o que transporta o túnel e fai da rede local o camiño de menor resistencia; a exclusión toma o túnel como camiño normal e trata as excepcións como excepcións, o que se achega máis a o que a maioría das políticas corporativas pretende de verdade.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Fíxate en que tipo de obxecto lista a plataforma
O VpnService.Builder de Android expón unha lista de aplicacións permitidas e unha lista de aplicacións prohibidas como dous modelos separados, e as regras por aplicación escolen por paquete en lugar de por destino. Un navegador incluído nunha lista así arrastra cada destino que abre, o que é unha granularidade distinta dunha táboa de rutas e non pode arranxar un único sitio roto dentro dunha aplicación que funciona.
Os clientes de escritorio adoitan mesturar ambos os tipos nunha soa interface, así que comproba se a fila que engades é un paquete, un nome de host ou un prefixo. Fallan de formas distintas e resólvense en lugares distintos. Unha fila de nome de host convértese normalmente nunha ruta máis un nome, mentres que unha fila de paquete convértese nunha decisión de política dentro do cliente. Anota cal das dúas engadiches, porque quen depure máis tarde vai dar por feito a outra.
Probar o estado de fallo, non só o camiño feliz
Unha aplicación excluída do túnel non obtén automaticamente un acceso directo limpo. Se o cliente ademais aplica unha regra que bloquea sen VPN, o tráfico excluído pode descartarse por completo, o que parece unha aplicación rota máis que unha decisión de encamiñamento. Proba ese caso a propósito en vez de descubrilo polo informe dun usuario.
Despois revisa DNS e IPv6 como puntos separados. Un túnel que só transporta IPv4 deixa a unha aplicación capaz de v6 un camiño para rodealo, e o DNS dividido decide se os nomes internos se resolven para tráfico que non vai polo túnel en absoluto. Executa unha aplicación listada, unha non listada, unha consulta de nome e unha reconexión, e garda os resultados xunto coa configuración.
Escribir o valor por defecto onde o atope a seguinte persoa
Deixa constancia do valor escollido, das excepcións e de quen é responsábel delas no mesmo sitio que o perfil do cliente, porque o seguinte administrador engadirá unha entrada sen ler este razoamento. Anota a data e o motivo de cada excepción, para que unha excepción obsoleta dun sitio xa arranxado se poida retirar con confianza. Unha lista sen motivos medra para sempre.
Cando alguén informa dun único destino roto, cambia a excepción e non a base. Dar a volta ao valor por defecto para arranxar un só sitio move en silencio cada aplicación non listada cara ao outro lado do túnel.