Eccezione VPN per la LAN di casa su Android: guida operativa per un solo servizio
Escludete solo il servizio di casa che avete approvato, non tutte le rotte private. Scrivete la politica, usate una VPN aggirabile e poi provate il guasto della rete ospiti.
Volete un servizio di casa raggiungibile mentre la VPN resta in vigore per tutto il resto. L’impostazione tentatrice è un’eccezione di rotta locale che copre ogni indirizzo privato, ed è il controllo sbagliato: sulla prossima rete di hotel o caffè può trasformare in aggiramento qualunque cosa risponda. Questa guida limita l’eccezione a un solo servizio e la dimostra nelle transizioni che la rompono.
Definite l’eccezione come servizio, non come sottorete
Annotate l’app, il nome host e l’indirizzo di destinazione, il protocollo e la porta, la rete in cui è consentita e il controllo di identità che il servizio stesso esegue. Su un NAS con autenticazione è il certificato o l’account a dimostrare che avete raggiunto la macchina giusta. Un indirizzo in 192.168.0.0/16 non dimostra nulla, perché ogni router di casa distribuisce gli stessi prefissi.
Decidete anche che cosa significa vicino. Un servizio su una VLAN instradata non è sulla sottorete collegata direttamente al telefono, e un Wi-Fi ospiti può condividere lo stesso prefisso privato di casa pur essendo una macchina del tutto diversa. L’eccezione deve nominare il servizio e l’ambiente, non solo l’intervallo di indirizzi.
Verificate che il controllo della piattaforma corrisponda al requisito
Il generatore di profili IKEv2 di Android espone setLocalRoutesExcluded(true), e la sua documentazione richiede una VPN aggirabile: l’eccezione ha senso solo quando il client lascia che il traffico aggiri il tunnel. La stessa documentazione avverte che la rete sottostante può fornire rotte che influenzano l’eccezione, per questo l’impostazione segue la rete a cui vi unite, non quella di cui vi fidate.
Non è nemmeno una promessa che ogni blocco o configurazione gestita lasci all’utente attivare la stessa eccezione. Eccezione di rotta, indicatore di aggirabilità e politica di blocco del dispositivo sono controlli separati, e un dispositivo gestito può vietare il terzo mentre consente i primi due. Controllate il profilo installato e la politica di gestione prima di progettare intorno a una casella.
Guida: costruite e applicate l’eccezione
Passo 1: create il profilo tramite il percorso supportato per la distribuzione, la configurazione gestita o il generatore client. Passo 2: contrassegnate la VPN come aggirabile, perché l’eccezione di rotta locale non è efficace senza. Passo 3: attivate l’eccezione di rotta locale. Passo 4: lasciate attivi l’autenticazione propria del servizio e la convalida del certificato; l’eccezione riguarda l’instradamento, non la fiducia. Passo 5: salvate e riconnettete perché il profilo venga applicato.
Il rollback è lo stesso percorso al contrario: cancellate l’eccezione, poi cancellate l’aggirabilità, poi riconnettete. Non applicate patch a una rotta o a un hook del firewall direttamente sul dispositivo. Il daemon di rete possiede quelle regole, e una regola manuale può mancare un’altra famiglia di indirizzi, una riconnessione o una transizione di rete. Se la configurazione installata non riesce a esprimere la politica, mantenete il blocco più severo finché il proprietario non approva un’altra progettazione.
Provate i quattro casi che contano
Usate richieste innocue e annotate il risultato atteso prima di eseguire ogni caso. La matrice qui sotto è il test di accettazione, non un suggerimento: se un caso negato riesce, l’eccezione è più ampia della politica.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
Il caso 3 è quello che intercetta un ampio aggiramento della sottorete privata, e il caso 4 intercetta un client che ha applicato l’eccezione solo al momento della connessione. Eseguite il caso 4 con la VPN disconnessa e il telefono passato alla rete mobile, poi riconnettete e confermate che l’eccezione torna senza riavvio. Il riferimento API della rotta locale indica il requisito di aggirabilità che rende il passo 2 obbligatorio.
Registrate l’eccezione e riesaminatela
Il registro mantenuto deve nominare il servizio, l’ambiente che l’ha giustificata, il proprietario e la data. Locale descrive una relazione di instradamento, non un livello di fiducia, e la prossima rete a cui si unirà il telefono non è quella in cui l’eccezione è stata approvata.
Riesaminate il registro dopo un aggiornamento del sistema, un aggiornamento del client o un trasloco. Eseguite di nuovo il caso 3 a ogni rinnovo dell’eccezione, perché un profilo che una volta ha limitato l’aggiramento a un servizio può essere ampliato con un solo cambiamento predefinito.