Android-тағы үй LAN желісіне арналған VPN ерекшелігі: бір қызметке арналған нұсқаулық
Тек өзіңіз мақұлдаған үй қызметін шығарып тастаңыз, барлық жеке маршруттарды емес. Саясатты жазыңыз, айналып өтуге болатын VPN қолданыңыз, содан кейін қонақ желісінің істен шығуын тексеріңіз.
Сіз бір үй қызметінің қолжетімді болғанын қалайсыз, ал VPN қалған барлық нәрсеге күшінде қалады. Азғырарлық параметр — барлық жеке мекенжайды қамтитын жергілікті маршрут ерекшелігі, және бұл дұрыс емес бақылау: келесі қонақүй немесе кафе желісінде ол жауап беретін кез келген нәрсені айналып өтуге айналдыруы мүмкін. Бұл нұсқаулық ерекшелікті бір қызметпен шектейді және оны бұзатын ауысуларда дәлелдейді.
Ерекшелікті қосалқы желі емес, қызмет ретінде анықтаңыз
Қолданбаны, барар жердің хост атауы мен мекенжайын, протокол мен портты, рұқсат етілген желіні және қызметтің өзі жасайтын жеке басты тексеруді жазып алыңыз. Аутентификациясы бар NAS үшін дұрыс машинаға жеткеніңізді сертификат немесе тіркелгі дәлелдейді. 192.168.0.0/16 ішіндегі мекенжай ештеңе дәлелдемейді, өйткені әр үй маршрутизаторы бірдей префикстерді таратады.
Сондай-ақ жақын дегеннің не екенін шешіңіз. Маршрутталған VLAN-дағы қызмет телефонға тікелей қосылған қосалқы желіде емес, ал қонақ Wi-Fi үймен бірдей жеке префиксті бөлісіп, мүлдем басқа машина болуы мүмкін. Ерекшелік қызметті және ортаны атауы керек, тек мекенжай ауқымын емес.
Платформа бақылауы талапқа сай екенін растаңыз
Android-тың IKEv2 профиль құрастырушысы setLocalRoutesExcluded(true) ұсынады, ал оның құжаттамасы айналып өтуге болатын VPN-ді талап етеді: ерекшелік тек клиент трафикті туннельден өткізуге рұқсат бергенде ғана мәнге ие. Сол құжаттама негізгі желі ерекшелікке әсер ететін маршруттар бере алатынын ескертеді, сондықтан параметр сіз сенетін желіге емес, қосылатын желіге бағынады.
Бұл сондай-ақ әр құлыптау немесе басқарылатын конфигурация пайдаланушыға сол ерекшелікті қосуға мүмкіндік береді деген уәде емес. Маршрут ерекшелігі, айналып өту жалаушасы және құрылғыны блоктау саясаты бөлек бақылаулар, ал басқарылатын құрылғы үшіншісін тыйып, алғашқы екеуіне рұқсат беруі мүмкін. Белгі қою ұяшығының айналасында жобаламас бұрын орнатылған профильді және басқару саясатын тексеріңіз.
Нұсқаулық: ерекшелікті құрып, қолданыңыз
1-қадам: профильді орналастыру үшін қолдау көрсетілген жолмен жасаңыз, не басқарылатын конфигурация, не клиент құрастырушысы. 2-қадам: VPN-ді айналып өтуге болатын деп белгілеңіз, өйткені жергілікті маршрут ерекшелігі онсыз әрекет етпейді. 3-қадам: жергілікті маршрут ерекшелігін қосыңыз. 4-қадам: қызметтің өз аутентификациясы мен сертификатты тексеруді қосулы ұстаңыз; ерекшелік маршруттау туралы, сенім туралы емес. 5-қадам: сақтап, қайта қосылыңыз, сонда профиль қолданылады.
Кері қайтару — сол жол кері тәртіппен: ерекшелікті тазалаңыз, содан кейін айналып өтуді тазалаңыз, содан кейін қайта қосылыңыз. Құрылғыда тікелей маршрутты немесе брандмауэр ілгегін жамамаңыз. Желілік демон сол ережелерге ие, ал қолмен жасалған ереже басқа мекенжай тобын, қайта қосылуды немесе желілік ауысуды өткізіп жіберуі мүмкін. Егер орнатылған конфигурация саясатты білдіре алмаса, иесі басқа жобаны мақұлдағанша қатаңырақ блоктауды ұстаңыз.
Маңызды төрт жағдайды тексеріңіз
Зиянсыз сұрауларды қолданыңыз және әр жағдайды іске қоспас бұрын күтілетін нәтижені жазыңыз. Төмендегі матрица — қабылдау тесті, ұсыныс емес: егер қандай да бір тыйым салынған жағдай сәтті болса, ерекшелік саясаттан кеңірек.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
3-жағдай жеке қосалқы желінің кең айналып өтуін ұстайды, ал 4-жағдай ерекшелікті тек қосылу кезінде қолданған клиентті ұстайды. 4-жағдайды VPN ажыратылған және телефон ұялы желіге көшірілген күйде іске қосыңыз, содан кейін қайта қосылып, ерекшеліктің қайта жүктеусіз қайтатынын растаңыз. Жергілікті маршрут API анықтамасы 2-қадамды міндетті ететін айналып өту талабын көрсетеді.
Ерекшелікті жазып, қарап шығыңыз
Ұсталатын жазба қызметті, оны негіздеген ортаны, иесін және күнін атауы керек. Жергілікті маршруттау қатынасын сипаттайды, сенім деңгейін емес, ал телефон қосылатын келесі желі ерекшелік мақұлданған желі емес.
Жазбаны ОЖ жаңартуынан, клиент жаңартуынан немесе көшу себебінен кейін қарап шығыңыз. Ерекшелік жаңартылған сайын 3-жағдайды қайта іске қосыңыз, өйткені айналып өтуді бір рет бір қызметпен шектеген профильді бір әдепкі өзгеріс кеңейтуі мүмкін.