Hanya Sertaan atau Hanya Pengecualian dalam Pemisahan Terowongan: Mana Bawaannya?
Pilih nilai bawaan sebelum menyusun daftar: terowongkan hanya yang Anda sebut, atau terowongkan semuanya dan keluarkan pengecualian. Lalu uji aplikasi yang tidak didaftarkan siapa pun.
Buka bagian perutean di klien VPN Anda dan Anda akan melihat dua kontrol dengan bentuk berbeda yang sering memakai label sama. Yang satu meminta Anda mendaftar tujuan yang masuk terowongan, dan sisanya tetap memakai jaringan lokal. Yang lain menganggap semuanya masuk terowongan dan bertanya apa yang harus dikeluarkan. Keduanya memberi Anda terowongan yang bekerja pada uji pertama, dan keduanya dirawat dengan menambah baris ke daftar, itulah sebabnya perbedaan ini tidak terlihat sampai seseorang memasang sesuatu yang baru.
Pilihannya adalah nilai bawaan, bukan fitur. Tetapkan sebelum daftar berisi dua puluh entri.
Baca nilai bawaan dari klien, bukan dari brosur
WireGuard membuat keputusan ini luar biasa terlihat, karena AllowedIPs adalah daftar sertaan dan tidak lebih. Peer dengan 0.0.0.0/0, ::/0 menerowongkan semuanya; peer dengan 10.20.0.0/16 hanya menerowongkan itu. Tidak ada sintaks pengecualian, jadi jika Anda ingin satu subnet dikecualikan, Anda entah mendaftar setiap prefiks lainnya atau menambahkan perutean kebijakan di luar antarmuka.
OpenVPN mencapai tempat yang sama dari arah sebaliknya, dengan redirect-gateway def1 memasang terowongan penuh dan direktif route eksplisit menambahkan atau menimpa prefiks tertentu. Klien komersial biasanya menyembunyikan keduanya di balik kotak centang dan tabel tujuan, jadi bacalah mana yang sebenarnya diedit tabel itu sebelum Anda memercayai labelnya.
Pertanyaan yang perlu diajukan bukanlah nama kotak centang itu. Pertanyaannya adalah apa yang terjadi pada paket yang tujuannya tidak muncul di kedua daftar. Jawab itu secara tertulis dan sisa konfigurasinya mengikuti. Lewatkan pertanyaan itu dan kegagalan pertama yang tak terjelaskan akan diputuskan oleh siapa pun yang paling dekat dengan klien hari itu.
Ikuti aplikasi yang tidak didaftarkan siapa pun
Dalam rancangan hanya-sertaan, aplikasi itu langsung, di jaringan lokal, dengan DNS lokal. Dalam rancangan hanya-pengecualian, ia melewati terowongan, tunduk pada apa yang diizinkan server, dan inilah yang sering menjadi beda antara alat SaaS baru yang bekerja sejak hari pertama dan tiket yang mengatakan VPN merusaknya.
Tidak ada yang lebih aman dengan sendirinya. Hanya-sertaan mempersempit apa yang dibawa terowongan dan menjadikan jaringan lokal jalur dengan hambatan terkecil; hanya-pengecualian menganggap terowongan sebagai jalur normal dan memperlakukan pengecualian sebagai pengecualian, yang lebih dekat ke apa yang sebenarnya dimaksud sebagian besar kebijakan korporat.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Perhatikan jenis objek apa yang didaftarkan platform
VpnService.Builder di Android menampilkan daftar aplikasi yang diizinkan dan daftar aplikasi yang tidak diizinkan sebagai dua model terpisah, dan aturan per aplikasi memilih berdasarkan paket, bukan tujuan. Peramban yang dimasukkan ke daftar semacam itu membawa setiap tujuan yang dibukanya, yang merupakan kerincian berbeda dari tabel rute dan tidak dapat memperbaiki satu situs rusak di dalam aplikasi yang berfungsi.
Klien desktop biasanya mencampur kedua jenis dalam satu antarmuka, jadi periksa apakah baris yang Anda tambahkan adalah paket, nama host, atau prefiks. Keduanya gagal dengan cara berbeda dan diselesaikan di tempat berbeda. Baris nama host biasanya menjadi rute plus nama, sedangkan baris paket menjadi keputusan kebijakan di dalam klien. Catat mana yang Anda tambahkan, karena orang yang men-debug nanti akan menganggap yang lain.
Uji keadaan gagal, bukan hanya jalur yang berhasil
Aplikasi yang dikecualikan dari terowongan tidak otomatis mendapat akses langsung yang bersih. Jika klien juga memberlakukan aturan blokir tanpa VPN, lalu lintas yang dikecualikan bisa dibuang sepenuhnya, yang tampak seperti aplikasi rusak alih-alih keputusan perutean. Uji kasus itu dengan sengaja daripada menemukannya dari laporan pengguna.
Lalu periksa DNS dan IPv6 sebagai butir terpisah. Terowongan yang hanya membawa IPv4 meninggalkan jalur memutar bagi aplikasi yang mendukung v6, dan DNS terpisah menentukan apakah nama internal terurai untuk lalu lintas yang sama sekali tidak melewati terowongan. Jalankan satu aplikasi terdaftar, satu aplikasi tak terdaftar, satu pencarian nama, dan satu penyambungan ulang, lalu simpan hasilnya bersama konfigurasi.
Tulis nilai bawaan di tempat orang berikutnya akan menemukannya
Catat nilai bawaan yang dipilih, pengecualiannya, dan siapa pemiliknya di tempat yang sama dengan profil klien, karena administrator berikutnya akan menambah entri tanpa membaca penalaran ini. Catat tanggal dan alasan setiap pengecualian, agar pengecualian lama untuk situs yang sudah diperbaiki dapat dihapus dengan yakin. Daftar tanpa alasan tumbuh selamanya.
Ketika seseorang melaporkan satu tujuan yang rusak, ubah pengecualiannya, bukan garis dasarnya. Membalik nilai bawaan untuk memperbaiki satu situs diam-diam memindahkan setiap aplikasi tak terdaftar ke sisi lain terowongan.