केवल समावेशन या केवल बहिष्करण स्प्लिट टनलिंग: कौन सा डिफ़ॉल्ट?
सूची बनाने से पहले डिफ़ॉल्ट चुनें: केवल वही टनल करें जिसका आप नाम लें, या सब कुछ टनल करें और अपवाद बाहर निकालें। फिर उस एप्लिकेशन का परीक्षण करें जिसे किसी ने सूची में नहीं डाला।
अपने VPN क्लाइंट का रूटिंग अनुभाग खोलें और आप दो अलग आकार के नियंत्रण देखेंगे जो अक्सर एक ही लेबल रखते हैं। एक आपसे टनल में आने वाले गंतव्यों की सूची बनाने को कहता है, और बाकी सब स्थानीय नेटवर्क का उपयोग करता रहता है। दूसरा मानता है कि सब कुछ टनल में है और पूछता है कि क्या बाहर निकाला जाना चाहिए। दोनों पहले परीक्षण में ही काम करने वाली टनल देते हैं, और दोनों सूची में पंक्तियाँ जोड़कर बनाए रखे जाते हैं, इसलिए यह अंतर तब तक अदृश्य रहता है जब तक कोई कुछ नया स्थापित न करे।
यह चुनाव एक डिफ़ॉल्ट है, कोई सुविधा नहीं। सूची में बीस प्रविष्टियाँ होने से पहले इसे तय कर लें।
डिफ़ॉल्ट क्लाइंट से पढ़ें, ब्रोशर से नहीं
WireGuard इस निर्णय को असामान्य रूप से दृश्य बनाता है, क्योंकि AllowedIPs एक समावेशन सूची है और बस इतना ही। 0.0.0.0/0, ::/0 वाला पीयर सब कुछ टनल करता है; 10.20.0.0/16 वाला पीयर केवल वही टनल करता है। बहिष्करण का कोई सिंटैक्स नहीं है, इसलिए यदि आप एक सबनेट बाहर रखना चाहते हैं, तो या तो हर दूसरे प्रीफ़िक्स की गणना करें या इंटरफ़ेस के बाहर नीति रूटिंग जोड़ें।
OpenVPN दूसरी दिशा से उसी जगह पहुँचता है, जहाँ redirect-gateway def1 पूरी टनल स्थापित करता है और स्पष्ट route निर्देश विशिष्ट प्रीफ़िक्स जोड़ते या बदलते हैं। वाणिज्यिक क्लाइंट आमतौर पर दोनों को एक चेकबॉक्स और एक गंतव्य तालिका के पीछे छिपाते हैं, इसलिए लेबल पर भरोसा करने से पहले पढ़ें कि तालिका वास्तव में किसे संपादित करती है।
पूछने वाला प्रश्न यह नहीं है कि चेकबॉक्स का नाम क्या है। प्रश्न यह है कि ऐसे पैकेट का क्या होता है जिसका गंतव्य दोनों में से किसी सूची में नहीं है। इसका लिखित उत्तर दें और बाकी कॉन्फ़िगरेशन उसी से निकलता है। प्रश्न छोड़ दें और पहली बिना व्याख्या वाली विफलता उस व्यक्ति तय करेगा जो उस दिन क्लाइंट के सबसे निकट है।
ऐसे एप्लिकेशन का पीछा करें जिसे किसी ने सूची में नहीं डाला
केवल समावेशन वाले डिज़ाइन में वह एप्लिकेशन सीधे जाता है, स्थानीय नेटवर्क पर, स्थानीय DNS के साथ। केवल बहिष्करण वाले डिज़ाइन में वह टनल से जाता है, सर्वर जो अनुमति देता है उसके अधीन, और अक्सर यही अंतर होता है कि नया SaaS उपकरण पहले दिन से काम करता है या ऐसी टिकट आती है कि VPN ने उसे तोड़ दिया।
कोई भी डिफ़ॉल्ट अपने आप में अधिक सुरक्षित नहीं है। केवल समावेशन यह सीमित करता है कि टनल क्या ढोती है और स्थानीय नेटवर्क को सबसे कम प्रतिरोध का मार्ग बनाता है; केवल बहिष्करण टनल को सामान्य मार्ग मानता है और अपवादों को अपवाद मानता है, जो उससे अधिक निकट है जो अधिकांश कॉर्पोरेट नीतियाँ वास्तव में चाहती हैं।
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
ध्यान दें कि प्लेटफ़ॉर्म किस प्रकार की वस्तु सूचीबद्ध करता है
एंड्रॉइड में VpnService.Builder अनुमत-एप्लिकेशन सूची और अनुमति-रहित एप्लिकेशन सूची को दो अलग मॉडल के रूप में प्रस्तुत करता है, और प्रति-एप्लिकेशन नियम गंतव्य के बजाय पैकेज से चुनते हैं। ऐसी सूची में रखा गया ब्राउज़र हर उस गंतव्य को साथ ले जाता है जो वह खोलता है, जो रूट तालिका से अलग ग्रैन्युलैरिटी है और काम कर रहे एप्लिकेशन के भीतर एक टूटी साइट को ठीक नहीं कर सकता।
डेस्कटॉप क्लाइंट आमतौर पर दोनों प्रकारों को एक ही इंटरफ़ेस में मिलाते हैं, इसलिए जाँचें कि आप जो पंक्ति जोड़ रहे हैं वह पैकेज है, होस्टनेम है या प्रीफ़िक्स। ये अलग तरह से विफल होते हैं और अलग जगहों पर हल होते हैं। होस्टनेम पंक्ति आमतौर पर एक रूट और एक नाम बन जाती है, जबकि पैकेज पंक्ति क्लाइंट के भीतर नीति निर्णय बन जाती है। लिख लें कि आपने कौन सी जोड़ी, क्योंकि बाद में डिबग करने वाला व्यक्ति दूसरी मान लेगा।
विफलता की स्थिति का परीक्षण करें, केवल सफल मार्ग का नहीं
टनल से बहिष्कृत एप्लिकेशन को स्वतः साफ़ सीधी पहुँच नहीं मिलती। यदि क्लाइंट VPN के बिना ब्लॉक करने का नियम भी लागू करता है, तो बहिष्कृत ट्रैफ़िक पूरी तरह गिराया जा सकता है, जो रूटिंग निर्णय के बजाय टूटे एप्लिकेशन जैसा दिखता है। उस स्थिति का जानबूझकर परीक्षण करें, किसी उपयोगकर्ता की रिपोर्ट से खोजने के बजाय।
फिर DNS और IPv6 को अलग-अलग मदों के रूप में जाँचें। केवल IPv4 ढोने वाली टनल v6-सक्षम एप्लिकेशन के लिए उसके चारों ओर एक रास्ता छोड़ देती है, और विभाजित DNS तय करता है कि जो ट्रैफ़िक टनल से गुज़रता ही नहीं, उसके लिए आंतरिक नाम हल होते हैं या नहीं। सूची में शामिल एक एप्लिकेशन, सूची में न शामिल एक एप्लिकेशन, एक नाम क्वेरी और एक पुनःकनेक्शन चलाएँ, और परिणाम कॉन्फ़िगरेशन के साथ रखें।
डिफ़ॉल्ट वहाँ लिखें जहाँ अगला व्यक्ति उसे पाए
चुना गया डिफ़ॉल्ट, अपवाद और उनके स्वामी को उसी जगह दर्ज करें जहाँ क्लाइंट प्रोफ़ाइल है, क्योंकि अगला प्रशासक यह तर्क पढ़े बिना एक प्रविष्टि जोड़ देगा। हर अपवाद की तारीख और कारण नोट करें, ताकि जिस साइट को बाद में ठीक कर दिया गया उसके लिए पुराना अपवाद भरोसे के साथ हटाया जा सके। बिना कारण वाली सूची हमेशा बढ़ती रहती है।
जब कोई एक टूटे गंतव्य की रिपोर्ट करे, तो आधार बदलने के बजाय अपवाद बदलें। एक साइट ठीक करने के लिए डिफ़ॉल्ट पलटना हर उस एप्लिकेशन को चुपचाप टनल के दूसरी ओर ले जाता है जो सूची में नहीं है।