Iznimka za kućni LAN preko VPN-a na Androidu: priručnik za jednu uslugu

Želite da jedna kućna usluga bude dostupna dok VPN ostaje na snazi za sve ostalo. Primamljiva postavka je iznimka lokalne rute koja pokriva svaku privatnu adresu, i to je pogrešna kontrola: na sljedećoj hotelskoj ili kafićnoj mreži može pretvoriti sve što odgovori u zaobilaznicu. Ovaj priručnik svodi iznimku na jednu uslugu i dokazuje je pod prijelazima koji je lome.

Definirajte iznimku kao uslugu, ne kao podmrežu

Zabilježite aplikaciju, ime hosta i adresu odredišta, protokol i port, mrežu u kojoj je dopuštena te provjeru identiteta koju sama usluga izvodi. Za NAS s autentifikacijom certifikat ili račun dokazuje da ste stigli na pravu mašinu. Adresa u 192.168.0.0/16 ne dokazuje ništa, jer svaki kućni router dijeli iste prefikse.

Odredite i što znači blizu. Usluga na rutiranom VLAN-u nije na podmreži na koju je telefon izravno povezan, a gostujući Wi-Fi može dijeliti isti privatni prefiks s domom i pritom biti posve druga mašina. Iznimka treba imenovati uslugu i okruženje, ne samo raspon adresa.

Provjerite odgovara li kontrola platforme zahtjevu

Androidov graditelj IKEv2 profila izlaže setLocalRoutesExcluded(true), a njegova dokumentacija zahtijeva VPN koji se može zaobići: iznimka ima smisla samo kada klijent dopušta prometu da zaobiđe tunel. Ista dokumentacija upozorava da temeljna mreža može dostaviti rute koje utječu na iznimku, zato postavka slijedi mrežu kojoj se pridružujete, a ne mrežu kojoj vjerujete.

To također nije obećanje da će svako zaključavanje ili upravljana konfiguracija dopustiti korisniku da uključi istu iznimku. Iznimka rute, zastavica zaobilaznosti i politika blokiranja uređaja odvojene su kontrole, a upravljani uređaj može zabraniti treću dok dopušta prve dvije. Provjerite instalirani profil i politiku upravljanja prije nego što dizajnirate oko kvadratića.

Priručnik: izgradite i primijenite iznimku

Korak 1: izradite profil podržanim putem za implementaciju, bilo upravljanu konfiguraciju bilo graditelja klijenta. Korak 2: označite VPN kao zaobilazan, jer iznimka lokalne rute bez toga ne djeluje. Korak 3: uključite iznimku lokalne rute. Korak 4: zadržite vlastitu autentifikaciju usluge i provjeru certifikata uključenima; iznimka se tiče usmjeravanja, ne povjerenja. Korak 5: spremite i ponovno se povežite da bi se profil primijenio.

Vraćanje je isti put obrnutim redom: očistite iznimku, zatim očistite zaobilaznost, zatim se ponovno povežite. Ne krpajte rutu ni kuku vatrozida izravno na uređaju. Mrežni daemon posjeduje ta pravila, a ručno pravilo može propustiti drugu porodicu adresa, ponovno povezivanje ili mrežni prijelaz. Ako instalirana konfiguracija ne može izraziti politiku, zadržite strožu blokadu dok vlasnik ne odobri drugi dizajn.

Testirajte četiri važna slučaja

Koristite bezopasne zahtjeve i zapišite očekivani rezultat prije pokretanja svakog slučaja. Matrica ispod je prihvatni test, ne prijedlog: ako bilo koji zabranjeni slučaj uspije, iznimka je šira od politike.

Slučaj 3 hvata široku zaobilaznicu privatne podmreže, a slučaj 4 hvata klijent koji je iznimku primijenio samo pri povezivanju. Pokrenite slučaj 4 s isključenim VPN-om i s telefonom prebačenim na mobilnu mrežu, zatim se ponovno povežite i potvrdite da se iznimka vraća bez restarta. Referenca API-ja lokalne rute navodi zahtjev zaobilaznosti koji korak 2 čini obveznim.

Zabilježite iznimku i pregledajte je

Održavani zapis treba imenovati uslugu, okruženje koje ju je opravdalo, vlasnika i datum. Lokalno opisuje odnos usmjeravanja, ne razinu povjerenja, a sljedeća mreža kojoj se telefon pridruži nije mreža u kojoj je iznimka odobrena.

Pregledajte zapis nakon ažuriranja OS-a, ažuriranja klijenta ili preseljenja. Ponovno pokrenite slučaj 3 kad god se iznimka obnovi, jer profil koji je jednom sveo zaobilaznicu na jednu uslugu može biti proširen jednom promjenom zadane vrijednosti.