VPN-ի բացառություն տնային LAN-ի համար Android-ում. ուղեցույց մեկ ծառայության համար
Բացառեք միայն ձեր հաստատած տնային ծառայությունը, ոչ բոլոր մասնավոր երթուղիները։ Գրեք քաղաքականությունը, օգտագործեք շրջանցելի VPN, ապա ստուգեք հյուրերի ցանցի ձախողումը։
Ցանկանում եք, որ մեկ տնային ծառայություն հասանելի լինի, մինչ VPN-ը ուժի մեջ է մնում մնացած ամեն ինչի համար։ Գայթակղիչ կարգավորումը տեղական երթուղու բացառությունն է, որը ծածկում է յուրաքանչյուր մասնավոր հասցե, և դա սխալ վերահսկողություն է. հաջորդ հյուրանոցային կամ սրճարանի ցանցում այն կարող է ցանկացած պատասխանող բան դարձնել շրջանցում։ Այս ուղեցույցը սահմանափակում է բացառությունը մեկ ծառայությամբ և ապացուցում այն այն անցումներում, որոնք կոտրում են այն։
Սահմանեք բացառությունը որպես ծառայություն, ոչ որպես ենթացանց
Գրանցեք հավելվածը, նշանակակետի հոսթի անունն ու հասցեն, արձանագրությունն ու պորտը, ցանցը, որտեղ դա թույլատրված է, և ինքնության ստուգումը, որն անում է ծառայությունն ինքը։ Նույնականացումով NAS-ի դեպքում վկայագիրն է կամ հաշիվը, որ ապացուցում է, թե հասել եք ճիշտ մեքենային։ 192.168.0.0/16-ում հասցեն ոչինչ չի ապացուցում, քանի որ ամեն տնային երթուղիչ տալիս է նույն նախածանցերը։
Որոշեք նաև, թե ինչ է նշանակում մոտիկ։ Երթուղավորված VLAN-ի ծառայությունը հեռախոսին ուղղակիորեն միացված ենթացանցում չէ, և հյուրերի Wi-Fi-ը կարող է կիսել նույն մասնավոր նախածանցը տան հետ և միևնույն ժամանակ լինել բոլորովին այլ մեքենա։ Բացառությունը պետք է անվանի ծառայությունը և միջավայրը, ոչ միայն հասցեների տիրույթը։
Համոզվեք, որ հարթակի վերահսկողությունը համապատասխանում է պահանջին
Android-ի IKEv2 պրոֆիլի կառուցիչը տրամադրում է setLocalRoutesExcluded(true), և նրա փաստաթղթերը պահանջում են շրջանցելի VPN. բացառությունը իմաստ ունի միայն այն դեպքում, երբ հաճախորդը թույլ է տալիս երթևեկությանը շրջանցել թունելը։ Նույն փաստաթղթերը զգուշացնում են, որ հիմքում ընկած ցանցը կարող է տրամադրել երթուղիներ, որոնք ազդում են բացառության վրա, դրա համար կարգավորումը հետևում է այն ցանցին, որին միանում եք, ոչ այն ցանցին, որին վստահում եք։
Սա նաև խոստում չէ, որ ամեն արգելափակում կամ կառավարվող կարգավորում թույլ կտա օգտվողին միացնել նույն բացառությունը։ Երթուղու բացառությունը, շրջանցելիության դրոշը և սարքի արգելափակման քաղաքականությունը առանձին վերահսկողություններ են, և կառավարվող սարքը կարող է արգելել երրորդը՝ թույլ տալով առաջին երկուսը։ Ստուգեք տեղադրված պրոֆիլը և կառավարման քաղաքականությունը նախքան վանդակի շուրջ նախագծելը։
Ուղեցույց. կառուցեք և կիրառեք բացառությունը
Քայլ 1. ստեղծեք պրոֆիլը տեղակայման համար աջակցվող ուղով, կա՛մ կառավարվող կարգավորումը, կա՛մ հաճախորդի կառուցիչը։ Քայլ 2. նշեք VPN-ը որպես շրջանցելի, քանի որ տեղական երթուղու բացառությունն առանց դրա չի գործում։ Քայլ 3. միացրեք տեղական երթուղու բացառությունը։ Քայլ 4. թողեք ծառայության սեփական նույնականացումը և վկայագրի վավերացումը միացված. բացառությունը երթուղավորման մասին է, ոչ վստահության։ Քայլ 5. պահեք և նորից միացեք, որպեսզի պրոֆիլը կիրառվի։
Հետադարձը նույն ուղին է հակառակ հերթականությամբ. մաքրեք բացառությունը, ապա մաքրեք շրջանցելիությունը, ապա նորից միացեք։ Մի՛ կարկատեք երթուղի կամ հրապատի կեռիկ ուղղակիորեն սարքի վրա։ Ցանցային դեմոնն է տիրում այդ կանոններին, և ձեռքով կանոնը կարող է բաց թողնել հասցեների մեկ այլ ընտանիք, վերամիացում կամ ցանցային անցում։ Եթե տեղադրված կարգավորումը չի կարող արտահայտել քաղաքականությունը, պահեք ավելի խիստ արգելափակումը, մինչև սեփականատերը հաստատի այլ նախագիծ։
Փորձարկեք չորս կարևոր դեպքերը
Օգտագործեք անվնաս հարցումներ և գրի առեք սպասվող արդյունքը յուրաքանչյուր դեպք գործարկելուց առաջ։ Ստորև բերված մատրիցը ընդունման թեստ է, ոչ առաջարկ. եթե մերժված որևէ դեպք հաջողվի, բացառությունն ավելի լայն է, քան քաղաքականությունը։
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
Դեպք 3-ն է, որ բռնում է մասնավոր ենթացանցի լայն շրջանցումը, իսկ դեպք 4-ը բռնում է հաճախորդ, որը բացառությունը կիրառել է միայն միացման պահին։ Գործարկեք դեպք 4-ը VPN-ը անջատված և հեռախոսը բջջային ցանց տեղափոխված վիճակում, ապա նորից միացեք և հաստատեք, որ բացառությունը վերադառնում է առանց վերագործարկման։ Տեղական երթուղու API հղումը նշում է շրջանցելիության պահանջը, որը քայլ 2-ը դարձնում է պարտադիր։
Գրանցեք բացառությունը և վերանայեք այն
Պահվող գրառումը պետք է անվանի ծառայությունը, այն արդարացնող միջավայրը, սեփականատիրոջը և ամսաթիվը։ Տեղականը նկարագրում է երթուղավորման հարաբերություն, ոչ վստահության մակարդակ, և հաջորդ ցանցը, որին կմիանա հեռախոսը, այն ցանցը չէ, որտեղ հաստատվել է բացառությունը։
Վերանայեք գրառումը ՕՀ-ի թարմացումից, հաճախորդի թարմացումից կամ տեղափոխումից հետո։ Կրկին գործարկեք դեպք 3-ը ամեն անգամ, երբ բացառությունը թարմացվում է, քանի որ պրոֆիլը, որը մի անգամ շրջանցումը սահմանափակել է մեկ ծառայությամբ, կարող է ընդլայնվել մեկ լռելյայն փոփոխությամբ։