VPN-ის გამონაკლისი სახლის LAN-ზე Android-ში: სახელმძღვანელო ერთი სერვისისთვის
გამორიცხეთ მხოლოდ ის სახლის სერვისი, რომელიც დაამტკიცეთ და არა ყველა კერძო მარშრუტი. დაწერეთ პოლიტიკა, გამოიყენეთ გვერდის ავლადი VPN და შემდეგ შეამოწმეთ სტუმრების ქსელის უკმარისობა.
გსურთ ერთი სახლის სერვისი იყოს ხელმისაწვდომი, სანამ VPN ძალაში რჩება ყველა დანარჩენისთვის. მაცდური პარამეტრია ლოკალური მარშრუტის გამონაკლისი, რომელიც ფარავს ყველა კერძო მისამართს, და ეს არასწორი კონტროლია: შემდეგ სასტუმროს ან კაფეს ქსელში მან შეიძლება ნებისმიერი მპასუხობი რამ გვერდის ავლად აქციოს. ეს სახელმძღვანელო ზღუდავს გამონაკლისს ერთი სერვისით და ამტკიცებს მას იმ გადასვლებში, რომლებიც ამსხვრევენ მას.
განსაზღვრეთ გამონაკლისი როგორც სერვისი და არა როგორც ქვექსელი
ჩაწერეთ აპლიკაცია, დანიშნულების ჰოსტის სახელი და მისამართი, პროტოკოლი და პორტი, ქსელი სადაც ეს დასაშვებია და იდენტობის შემოწმება, რომელსაც თავად სერვისი ასრულებს. აუთენტიფიკაციის მქონე NAS-ზე სერტიფიკატი ან ანგარიში ამტკიცებს, რომ სწორ მანქანას მიაღწიეთ. მისამართი 192.168.0.0/16-ში არაფერს ამტკიცებს, რადგან ყველა სახლის როუტერი ერთსა და იმავე პრეფიქსებს ანაწილებს.
ასევე გადაწყვიტეთ რას ნიშნავს ახლოს. მარშრუტიზებულ VLAN-ზე მყოფი სერვისი არ არის ტელეფონთან უშუალოდ დაკავშირებულ ქვექსელში, ხოლო სტუმრების Wi-Fi შეიძლება იზიარებდეს იმავე კერძო პრეფიქსს, რაც სახლი და მაინც სრულიად სხვა მანქანა იყოს. გამონაკლისმა უნდა დაასახელოს სერვისი და გარემო და არა მხოლოდ მისამართების დიაპაზონი.
დარწმუნდით, რომ პლატფორმის კონტროლი შეესაბამება მოთხოვნას
Android-ის IKEv2 პროფილის შემქმნელი გვაძლევს setLocalRoutesExcluded(true) და მისი დოკუმენტაცია მოითხოვს გვერდის ავლად VPN-ს: გამონაკლისს აქვს აზრი მხოლოდ მაშინ, როცა კლიენტი ტრაფიკს გვირაბის გვერდის ავლის საშუალებას აძლევს. იგივე დოკუმენტაცია გვაფრთხილებს, რომ საფუძვლიანმა ქსელმა შეიძლება მოგვცეს მარშრუტები, რომლებიც გავლენას ახდენს გამონაკლისზე, ამიტომ პარამეტრი მიჰყვება იმ ქსელს, რომელსაც უერთდებით და არა იმას, რომელსაც ენდობით.
ეს ასევე არ არის დაპირება, რომ ყველა ბლოკირება ან მართული კონფიგურაცია მომხმარებელს საშუალებას მისცემს ჩართოს იგივე გამონაკლისი. მარშრუტის გამონაკლისი, გვერდის ავლის დროშა და მოწყობილობის ბლოკირების პოლიტიკა ცალკეული კონტროლებია და მართულმა მოწყობილობამ შეიძლება აკრძალოს მესამე, დაუშვას პირველი ორი. შეამოწმეთ დაყენებული პროფილი და მართვის პოლიტიკა, სანამ ჩამრთველის გარშემო დააპროექტებთ.
სახელმძღვანელო: ააგეთ და გამოიყენეთ გამონაკლისი
ნაბიჯი 1: შექმენით პროფილი განლაგებისთვის მხარდაჭერილი გზით, ან მართული კონფიგურაცია ან კლიენტის შემქმნელი. ნაბიჯი 2: მონიშნეთ VPN გვერდის ავლად, რადგან ლოკალური მარშრუტის გამონაკლისი მის გარეშე არ მუშაობს. ნაბიჯი 3: ჩართეთ ლოკალური მარშრუტის გამონაკლისი. ნაბიჯი 4: დატოვეთ სერვისის საკუთარი აუთენტიფიკაცია და სერტიფიკატის ვალიდაცია ჩართული; გამონაკლისი მარშრუტიზაციას ეხება და არა ნდობას. ნაბიჯი 5: შეინახეთ და ხელახლა დაუკავშირდით, რომ პროფილი გამოყენებულ იქნას.
უკან დაბრუნება იგივე გზაა საპირისპიროდ: გაასუფთავეთ გამონაკლისი, შემდეგ გაასუფთავეთ გვერდის ავლა და შემდეგ ხელახლა დაუკავშირდით. ნუ შეაკეთებთ მარშრუტს ან firewalls კაუჭს უშუალოდ მოწყობილობაზე. ქსელის დემონი ფლობს ამ წესებს და ხელით დაწერილმა წესმა შეიძლება გამოტოვოს სხვა მისამართების ოჯახი, ხელახალი კავშირი ან ქსელური გადასვლა. თუ დაყენებული კონფიგურაცია ვერ გამოხატავს პოლიტიკას, შეინარჩუნეთ უფრო მკაცრი ბლოკი, სანამ მფლობელი სხვა დიზაინს დაამტკიცებს.
შეამოწმეთ ოთხი მნიშვნელოვანი შემთხვევა
გამოიყენეთ უვნებელი მოთხოვნები და ჩაწერეთ მოსალოდნელი შედეგი ყოველი შემთხვევის გაშვებამდე. ქვემოთ მოცემული მატრიცა მიღების ტესტია და არა წინადადება: თუ უარყოფილი რომელიმე შემთხვევა წარმატებით დასრულდა, გამონაკლისი უფრო ფართოა, ვიდრე პოლიტიკა.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
შემთხვევა 3 არის ის, რომელიც იჭერს კერძო ქვექსელის ფართო გვერდის ავლას, ხოლო შემთხვევა 4 იჭერს კლიენტს, რომელმაც გამონაკლისი მხოლოდ დაკავშირებისას გამოიყენა. გაუშვით შემთხვევა 4 გათიშული VPN-ით და ტელეფონის მობილურ ქსელზე გადატანილ მდგომარეობაში, შემდეგ ხელახლა დაუკავშირდით და დაადასტურეთ, რომ გამონაკლისი ბრუნდება გადატვირთვის გარეშე. ლოკალური მარშრუტის API ცნობარი მიუთითებს გვერდის ავლის მოთხოვნაზე, რომელიც ნაბიჯ 2-ს სავალდებულოს ხდის.
ჩაწერეთ გამონაკლისი და გადახედეთ მას
შენახული ჩანაწერი უნდა ასახელებდეს სერვისს, მის გამამართლებელ გარემოს, მფლობელს და თარიღს. ლოკალური აღწერს მარშრუტიზაციის ურთიერთობას და არა ნდობის დონეს, ხოლო შემდეგი ქსელი, რომელსაც ტელეფონი შეუერთდება, არ არის ის ქსელი, სადაც გამონაკლისი დამტკიცდა.
გადახედეთ ჩანაწერს OS-ის განახლების, კლიენტის განახლების ან გადასვლის შემდეგ. ხელახლა გაუშვით შემთხვევა 3 ყოველ ჯერზე, როცა გამონაკლისი განახლდება, რადგან პროფილი, რომელმაც ერთხელ შეზღუდა გვერდის ავლა ერთი სერვისით, შეიძლება ერთი ნაგულისხმევი ცვლილებით გაფართოვდეს.