Pengecualian VPN LAN rumah di Android: buku panduan untuk satu layanan

Anda ingin satu layanan rumah tetap terjangkau sementara VPN berlaku untuk semua hal lain. Pengaturan yang menggoda adalah pengecualian rute lokal yang mencakup setiap alamat privat, dan itu kontrol yang salah: di jaringan hotel atau kafe berikutnya, itu bisa mengubah apa pun yang menjawab menjadi jalan pintas. Buku panduan ini membatasi pengecualian pada satu layanan dan membuktikannya pada transisi yang merusaknya.

Definisikan pengecualian sebagai layanan, bukan subnet

Catat aplikasi, nama host dan alamat tujuan, protokol dan port, jaringan tempat itu diizinkan, serta pemeriksaan identitas yang dilakukan layanan itu sendiri. Pada NAS dengan autentikasi, sertifikat atau akunlah yang membuktikan Anda mencapai mesin yang benar. Alamat di 192.168.0.0/16 tidak membuktikan apa pun, karena setiap router rumah membagikan prefiks yang sama.

Tentukan juga arti dekat. Layanan di VLAN yang dirutekan tidak berada di subnet yang terhubung langsung ke ponsel, dan Wi-Fi tamu bisa berbagi prefiks privat yang sama dengan rumah namun merupakan mesin yang sama sekali berbeda. Pengecualian harus menyebut layanan dan lingkungannya, bukan hanya rentang alamat.

Pastikan kontrol platform cocok dengan kebutuhan

Pembuat profil IKEv2 Android menyediakan setLocalRoutesExcluded(true), dan dokumentasinya mensyaratkan VPN yang bisa dilewati: pengecualian hanya bermakna ketika klien mengizinkan lalu lintas melewati terowongan. Dokumentasi yang sama memperingatkan bahwa jaringan di bawahnya dapat memasok rute yang memengaruhi pengecualian, karena itu pengaturan mengikuti jaringan tempat Anda bergabung, bukan jaringan yang Anda percaya.

Itu juga bukan janji bahwa setiap penguncian atau konfigurasi terkelola akan membiarkan pengguna mengaktifkan pengecualian yang sama. Pengecualian rute, bendera kelayakan lewat, dan kebijakan pemblokiran perangkat adalah kontrol terpisah, dan perangkat terkelola dapat melarang yang ketiga sambil mengizinkan dua yang pertama. Periksa profil terpasang dan kebijakan pengelolaan sebelum merancang di sekitar kotak centang.

Buku panduan: bangun dan terapkan pengecualian

Langkah 1: buat profil lewat jalur yang didukung untuk penerapan, baik konfigurasi terkelola maupun pembuat klien. Langkah 2: tandai VPN sebagai bisa dilewati, karena pengecualian rute lokal tidak efektif tanpanya. Langkah 3: aktifkan pengecualian rute lokal. Langkah 4: biarkan autentikasi layanan itu sendiri dan validasi sertifikat tetap aktif; pengecualian soal perutean, bukan kepercayaan. Langkah 5: simpan dan sambungkan ulang agar profil diterapkan.

Pengembalian adalah jalur yang sama secara terbalik: kosongkan pengecualian, lalu kosongkan kelayakan lewat, lalu sambungkan ulang. Jangan menambal rute atau kait firewall secara langsung di perangkat. Daemon jaringan memiliki aturan itu, dan aturan manual bisa melewatkan keluarga alamat lain, penyambungan ulang, atau transisi jaringan. Jika konfigurasi terpasang tidak dapat menyatakan kebijakan, pertahankan blokir yang lebih ketat sampai pemilik menyetujui rancangan lain.

Uji empat kasus yang penting

Gunakan permintaan yang tidak berbahaya dan tuliskan hasil yang diharapkan sebelum menjalankan setiap kasus. Matriks di bawah adalah uji penerimaan, bukan saran: jika ada kasus yang ditolak berhasil, pengecualian lebih luas daripada kebijakan.

Kasus 3 adalah yang menangkap jalan pintas subnet privat yang lebar, dan kasus 4 menangkap klien yang hanya menerapkan pengecualian saat menyambung. Jalankan kasus 4 dengan VPN terputus dan ponsel dipindah ke jaringan seluler, lalu sambungkan ulang dan pastikan pengecualian kembali tanpa boot ulang. Referensi API rute lokal menyebutkan syarat kelayakan lewat yang membuat langkah 2 wajib.

Catat pengecualian dan tinjau

Catatan yang dipelihara harus menyebut layanan, lingkungan yang membenarkannya, pemilik, dan tanggalnya. Lokal menggambarkan hubungan perutean, bukan tingkat kepercayaan, dan jaringan berikutnya yang dimasuki ponsel bukan jaringan tempat pengecualian disetujui.

Tinjau catatan setelah pembaruan OS, pembaruan klien, atau pindah lokasi. Jalankan ulang kasus 3 setiap kali pengecualian diperbarui, karena profil yang pernah membatasi jalan pintas ke satu layanan bisa diperluas dengan satu perubahan bawaan.