VPN-kivétel az otthoni LAN-on Androidon: útmutató egyetlen szolgáltatáshoz
Csak az engedélyezett otthoni szolgáltatást zárja ki, ne az összes privát útvonalat. Írja le a házirendet, használjon megkerülhető VPN-t, majd tesztelje a vendéghálózat hibáját.
Egy otthoni szolgáltatást szeretne elérhetővé tenni, miközben a VPN minden másra érvényben marad. A csábító beállítás a helyi útvonal kivétele, amely minden privát címet lefed, és ez a rossz vezérlés: a következő hotel- vagy kávézóhálózaton bármit, ami válaszol, megkerülővé tehet. Ez az útmutató egyetlen szolgáltatásra szűkíti a kivételt, és azokban az átmenetekben bizonyítja, amelyek elrontják.
A kivételt szolgáltatásként határozza meg, nem alhálózatként
Jegyezze fel az alkalmazást, a cél gépnevét és címét, a protokollt és portot, a hálózatot, ahol engedélyezett, valamint azt az identitásellenőrzést, amelyet maga a szolgáltatás végez. Hitelesített NAS esetén a tanúsítvány vagy a fiók bizonyítja, hogy a megfelelő gépet érte el. A 192.168.0.0/16-beli cím semmit sem bizonyít, mert minden otthoni router ugyanazokat az előtagokat osztja ki.
Azt is döntse el, mit jelent a közeli. Egy útvonalválasztott VLAN-on lévő szolgáltatás nincs a telefonhoz közvetlenül csatlakozó alhálózaton, és a vendég Wi-Fi oszthatja ugyanazt a privát előtagot, mint az otthon, mégis teljesen más gép lehet. A kivételnek a szolgáltatást és a környezetet kell megneveznie, nem csak a címtartományt.
Győződjön meg arról, hogy a platform vezérlése illik a követelményhez
Az Android IKEv2-profilkészítője setLocalRoutesExcluded(true)-t tesz elérhetővé, és a dokumentációja megkerülhető VPN-t követel: a kivétel csak akkor értelmes, ha a kliens engedi a forgalmat a tunnel mellett elhaladni. Ugyanez a dokumentáció figyelmeztet, hogy az alatta lévő hálózat a kivételt befolyásoló útvonalakat adhat, ezért a beállítás azt a hálózatot követi, amelyhez csatlakozik, nem azt, amelyben megbízik.
Az sem ígéret, hogy minden zárolás vagy kezelt konfiguráció engedni fogja a felhasználónak ugyanazt a kivételt engedélyezni. Az útvonal-kivétel, a megkerülhetőségi jelző és az eszköz blokkolási házirendje külön vezérlések, és egy kezelt eszköz megtilthatja a harmadikat, miközben engedi az első kettőt. A jelölőnégyzet körüli tervezés előtt ellenőrizze a telepített profilt és a kezelési házirendet.
Útmutató: építse fel és alkalmazza a kivételt
1. lépés: hozza létre a profilt a telepítéshez támogatott úton, akár a kezelt konfigurációval, akár a kliensépítővel. 2. lépés: jelölje meg a VPN-t megkerülhetőként, mert a helyi útvonal kivétele enélkül nem hatékony. 3. lépés: engedélyezze a helyi útvonal kivételét. 4. lépés: tartsa bekapcsolva a szolgáltatás saját hitelesítését és a tanúsítvány ellenőrzését; a kivétel az útvonalválasztásról szól, nem a bizalomról. 5. lépés: mentse el, és csatlakozzon újra, hogy a profil alkalmazásra kerüljön.
A visszaállítás ugyanaz az útvonal fordított sorrendben: törölje a kivételt, aztán törölje a megkerülhetőséget, majd csatlakozzon újra. Ne foltozzon útvonalat vagy tűzfal-horgot közvetlenül az eszközön. A hálózati démon birtokolja ezeket a szabályokat, és egy kézi szabály elvétethet egy másik címcsaládot, egy újracsatlakozást vagy egy hálózati átmenetet. Ha a telepített konfiguráció nem tudja kifejezni a házirendet, tartsa a szigorúbb blokkolást, amíg a tulajdonos jóvá nem hagy egy másik tervet.
Tesztelje a négy fontos esetet
Használjon ártalmatlan kéréseket, és minden eset futtatása előtt írja le a várt eredményt. Az alábbi mátrix az elfogadási teszt, nem javaslat: ha bármely tiltott eset sikerül, a kivétel szélesebb a házirendnél.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
A 3. eset kapja el a széles privát alhálózati megkerülést, a 4. eset pedig azt a klienst, amely csak csatlakozáskor alkalmazta a kivételt. Futtassa a 4. esetet leválasztott VPN-nel és mobilhálózatra vitt telefonnal, majd csatlakozzon újra, és erősítse meg, hogy a kivétel újraindítás nélkül visszatér. A helyi útvonal API-referenciája megnevezi a megkerülhetőségi követelményt, amely a 2. lépést kötelezővé teszi.
Rögzítse a kivételt és vizsgálja felül
A karbantartott feljegyzésnek meg kell neveznie a szolgáltatást, az azt indokoló környezetet, a tulajdonost és a dátumot. A helyi útvonalviszonyt ír le, nem bizalmi szintet, és a következő hálózat, amelyhez a telefon csatlakozik, nem az a hálózat, ahol a kivételt jóváhagyták.
Vizsgálja felül a feljegyzést operációsrendszer-frissítés, kliensfrissítés vagy költözés után. Minden megújításkor futtassa újra a 3. esetet, mert egy profil, amely egyszer egyetlen szolgáltatásra szűkítette a megkerülést, egyetlen alapértelmezett változtatással kiszélesíthető.