Android 홈 LAN VPN 예외: 단일 서비스를 위한 실행 지침

하나의 홈 서비스는 접근 가능하게 하면서 나머지 전부에는 VPN이 계속 적용되기를 원합니다. 솔깃한 설정은 모든 사설 주소를 덮는 로컬 경로 예외인데, 그것은 잘못된 통제입니다. 다음 호텔이나 카페 네트워크에서는 응답하는 무엇이든 우회로로 바꿔 버릴 수 있습니다. 이 지침은 예외를 단일 서비스로 좁히고, 그것을 깨뜨리는 전환 아래에서 증명합니다.

예외를 서브넷이 아니라 서비스로 정의하세요

앱, 목적지의 호스트 이름과 주소, 프로토콜과 포트, 허용되는 네트워크, 그리고 서비스 자체가 수행하는 신원 확인을 기록하세요. 인증이 있는 NAS에서는 인증서나 계정이 올바른 기계에 도달했음을 증명합니다. 192.168.0.0/16 안의 주소는 아무것도 증명하지 못합니다. 모든 가정용 공유기가 같은 접두사를 나눠 주기 때문입니다.

가깝다는 것의 의미도 정하세요. 라우팅된 VLAN의 서비스는 휴대폰에 직접 연결된 서브넷에 있지 않고, 게스트 Wi-Fi는 집과 같은 사설 접두사를 공유하면서도 전혀 다른 기계일 수 있습니다. 예외는 주소 범위만이 아니라 서비스와 환경을 지목해야 합니다.

플랫폼 통제가 요구 사항에 맞는지 확인하세요

Android의 IKEv2 프로필 빌더는 setLocalRoutesExcluded(true)을 제공하며, 그 문서는 우회 가능한 VPN을 요구합니다. 예외는 클라이언트가 트래픽을 터널 밖으로 내보낼 수 있을 때만 의미가 있습니다. 같은 문서는 기반 네트워크가 예외에 영향을 주는 경로를 공급할 수 있다고 경고합니다. 그래서 이 설정은 신뢰하는 네트워크가 아니라 접속하는 네트워크를 따릅니다.

또한 모든 잠금이나 관리형 구성이 사용자에게 같은 예외를 켜도록 허용한다는 약속도 아닙니다. 경로 예외, 우회 가능 플래그, 기기 차단 정책은 별개의 통제이며, 관리형 기기는 세 번째를 금지하면서 처음 두 개를 허용할 수 있습니다. 체크박스를 전제로 설계하기 전에 설치된 프로필과 관리 정책을 확인하세요.

실행 지침: 예외를 만들고 적용하세요

단계 1: 배포에 지원되는 경로로 프로필을 만드세요. 관리형 구성이나 클라이언트 빌더입니다. 단계 2: VPN을 우회 가능으로 표시하세요. 로컬 경로 예외는 그것 없이는 효과가 없습니다. 단계 3: 로컬 경로 예외를 켜세요. 단계 4: 서비스 자체의 인증과 인증서 검증은 켜 둔 채로 두세요. 예외는 라우팅에 관한 것이지 신뢰에 관한 것이 아닙니다. 단계 5: 저장하고 다시 연결해 프로필을 적용하세요.

롤백은 같은 경로를 거꾸로 갑니다. 예외를 지우고, 다음으로 우회 가능을 지우고, 그다음 다시 연결하세요. 기기에서 경로나 방화벽 후크를 직접 패치하지 마세요. 그 규칙은 네트워크 데몬이 소유하며, 수동 규칙은 다른 주소 체계나 재연결, 네트워크 전환을 놓칠 수 있습니다. 설치된 구성이 정책을 표현할 수 없다면 소유자가 다른 설계를 승인할 때까지 더 엄격한 차단을 유지하세요.

중요한 네 가지 경우를 시험하세요

무해한 요청을 사용하고 각 경우를 실행하기 전에 예상 결과를 적으세요. 아래 표는 승인 시험이지 제안이 아닙니다. 거부되어야 할 경우가 하나라도 성공하면 예외는 정책보다 넓습니다.

경우 3은 넓은 사설 서브넷 우회를 잡아내고, 경우 4는 연결 시점에만 예외를 적용한 클라이언트를 잡아냅니다. VPN을 끊고 휴대폰을 셀룰러로 옮긴 상태에서 경우 4를 실행한 뒤 다시 연결해, 재부팅 없이 예외가 돌아오는지 확인하세요. 로컬 경로 API 참조는 단계 2를 필수로 만드는 우회 가능 요건을 밝힙니다.

예외를 기록하고 검토하세요

유지되는 기록에는 서비스, 그것을 정당화한 환경, 소유자, 날짜를 적어야 합니다. 로컬은 라우팅 관계를 뜻하지 신뢰 수준이 아니며, 휴대폰이 다음에 접속할 네트워크는 예외가 승인된 네트워크가 아닙니다.

OS 업데이트, 클라이언트 업데이트, 이사 후에 기록을 검토하세요. 예외가 갱신될 때마다 경우 3을 다시 실행하세요. 한때 우회를 단일 서비스로 좁혔던 프로필은 기본값 변경 하나로 넓어질 수 있습니다.