Aðeins innilokun eða aðeins útilokun: hvor er sjálfgefna stillingin?
Veldu sjálfgefnu stillinguna áður en þú byggir listann: trektu aðeins það sem þú nefnir, eða trektu allt og skerðu út undantekningar. Prófaðu síðan appið sem enginn hafði skráð.
Opnaðu leiðarhlutann í VPN-biðlaranum þínum og þú horfir á tvö ólík stýritæki sem bera oft sama merki. Annað biður þig að skrá áfangastaðina sem eiga heima í göngunni, og allt annað heldur áfram að nota staðarnetið. Hitt gerir ráð fyrir að allt sé trekt og spyr hvað eigi að skera út aftur. Bæði gefa þér virka göngu í fyrstu prófun, og bæði eru viðhaldin með því að bæta línum við lista, og þess vegna helst munurinn ósýnilegur þar til einhver setur upp eitthvað nýtt.
Valið er sjálfgefin stilling, ekki eiginleiki. Festu hana áður en listinn hefur tuttugu færslur.
Lestu sjálfgefnu stillinguna af biðlaranum, ekki af bæklingnum
WireGuard gerir ákvörðunina óvenju sýnilega, því AllowedIPs er innilokunarlisti og ekkert annað. Jafningi með 0.0.0.0/0, ::/0 trekkir allt; jafningi með 10.20.0.0/16 trekkir aðeins það. Engin útilokunarsetning er til, svo ef þú vilt sleppa einu undirneti verður þú annaðhvort að telja upp öll önnur forskeyti eða bæta stefnuleiðingu við utan við tengið.
OpenVPN kemst á sama stað frá hinni áttinni, með redirect-gateway def1 sem setur upp fulla göngu og skýrum route-fyrirmælum sem bæta við eða hnekka tilteknum forskeytum. Viðskiptabiðlarar fela bæði venjulega bak við gátreit og áfangastaðatöflu, svo lestu hvort töflan breytir í raun og veru áður en þú treystir merkinu.
Spurningin er ekki hvað gátreiturinn heitir. Spurningin er hvað verður um pakka þar sem áfangastaðurinn er í hvorugum listanum. Svaraðu því skriflega, og afgangur stillingarinnar fylgir því. Ef þú sleppir spurningunni, þá ræður fyrsta óútskýrða bilunin af þeim sem stendur næst biðlaranum þann daginn.
Fylgdu appi sem enginn skráði
Í hönnun með aðeins innilokun fer það app beint, á staðarnetinu, með staðbundnu DNS. Í hönnun með aðeins útilokun fer það í gegnum gönguna, að því marki sem þjónninn leyfir, og það er oft munurinn á nýju SaaS-tóli sem virkar á fyrsta degi og miða sem segir að VPN-ið hafi brotið það.
Hvorug sjálfgefna stillingin er öruggari út af fyrir sig. Innilokun þrengir það sem gangan ber og gerir staðarnetið að leið minnstu mótstöðu; útilokun tekur gönguna sem eðlilegu leiðina og meðhöndlar undantekningar sem undantekningar, sem er nær því sem flestar fyrirtækjastefnur eiga í raun við.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Taktu eftir hvers konar hlutur kerfið skráir
VpnService.Builder á Android býður upp á lista yfir leyfð og lista yfir bönnuð öpp sem tvö aðskilin líkön, og reglur fyrir hvert app velja eftir pakka frekar en eftir áfangastað. Vafri á slíkum lista ber með sér hvern áfangastað sem hann opnar, sem er önnur kornastærð en leiðatafla og getur ekki lagað eitt brotið vefsvæði inni í virku appi.
Borðtölvubiðlarar blanda venjulega báðum tegundum í einu viðmóti, svo athugaðu hvort röðin sem þú bætir við er pakki, hýsilnafn eða forskeyti. Þær mistakast á ólíka vegu og þær eru leystar á ólíkum stöðum. Hýsilnafnaröð verður venjulega leið auk nafns, en pakkaröð verður stefnuákvörðun inni í biðlaranum. Skrifaðu niður hvora þú bættir við, því sá sem kembir þetta síðar mun gera ráð fyrir hinni.
Prófaðu bilunarástandið, ekki bara góðu leiðina
App sem er útilokað frá göngunni fær ekki sjálfkrafa hreinan beinan aðgang. Ef biðlarinn framfylgir líka reglu sem lokar án VPN getur útilokuð umferð verið hent alveg, sem lítur út eins og brotið app frekar en leiðarákvörðun. Prófaðu það tilvik viljandi í stað þess að uppgötva það úr skýrslu notanda.
Athugaðu síðan DNS og IPv6 sem aðskilda liði. Ganga sem ber aðeins IPv4 skilur eftir leið fram hjá appi sem ræður við v6, og skipt DNS ræður því hvort innri nöfn leysist fyrir umferð sem er alls ekki trekt. Keyrðu app af listanum, app sem er ekki á listanum, nafnuppflettingu og eina endurtengingu, og geymdu niðurstöðurnar með stillingunni.
Skrifaðu sjálfgefnu stillinguna þar sem næsti maður finnur hana
Skráðu valda sjálfgefna stillingu, undantekningarnar og hver á þær á sama stað og biðlarasniðið, því næsti stjórnandi bætir við færslu án þess að lesa þessa röksemd. Skráðu dagsetningu og ástæðu hverrar undantekningar, svo hægt sé að fjarlægja úrelta undantekningu fyrir vefsvæði sem hefur síðan verið lagað með öryggi. Listi án ástæðna stækkar að eilífu.
Þegar einhver tilkynnir einn brotinn áfangastað, breyttu undantekningunni frekar en grunnlínunni. Að snúa við sjálfgefnu stillingunni til að laga eitt vefsvæði færir hljóðlaust hvert app sem er ekki á listanum á hina hlið göngunnar.