Android үй LAN VPN өзгөчөлүгү: бир кызмат үчүн нускама
Өзүңүз бекиткен үй кызматын гана чыгарып салыңыз, бардык жеке маршруттарды эмес. Саясатты жазыңыз, айланып өтүүгө боло турган VPN колдонуңуз, анан конок тармагынын иштен чыгышын текшериңиз.
Сиз бир үй кызматы жеткиликтүү болушун каалайсыз, ал эми VPN калган бардык нерсеге күчүндө калат. Кызыктырган жөндөө — бардык жеке даректи камтыган жергиликтүү маршрут өзгөчөлүгү, жана бул туура эмес көзөмөл: кийинки мейманкана же кафе тармагында ал жооп берген нерсенин баарын айланып өтүүгө айландырышы мүмкүн. Бул нускама өзгөчөлүктү бир кызмат менен чектеп, аны буза турган өтүүлөрдүн астында далилдейт.
Өзгөчөлүктү субнет эмес, кызмат катары аныктаңыз
Колдонмону, бара турган жердин хост атын жана дарегин, протоколду жана портту, уруксат берилген тармакты, жана кызматтын өзү жасаган инсандык текшерүүнү жазып алыңыз. Аутентификациясы бар NAS үчүн туура машинага жеткениңизди сертификат же эсеп далилдейт. 192.168.0.0/16 ичиндеги дарек эч нерсени далилдебейт, анткени ар бир үй маршрутизатору бирдей префикстерди таратат.
Ошондой эле жакын деген эмнени билдирерин чечиңиз. Маршрутталган VLANдагы кызмат телефонго түз туташкан субнетте эмес, ал эми конок Wi-Fi үй менен бирдей жеке префиксти бөлүшүп, бирок таптакыр башка машина болушу мүмкүн. Өзгөчөлүк кызматты жана чөйрөнү аташы керек, дарек диапазонун гана эмес.
Платформанын көзөмөлү талапка шайкеш келерин ырастаңыз
Androidдин IKEv2 профиль куруучусу setLocalRoutesExcluded(true) сунуштайт, жана анын документтери айланып өтүүгө боло турган VPNди талап кылат: өзгөчөлүк клиент трафикти туннелден өткөрүүгө уруксат бергенде гана мааниге ээ. Ошол эле документ негизги тармак өзгөчөлүккө таасир этүүчү маршруттарды бере аларын эскертет, ошондуктан жөндөө сиз ишенген тармакка эмес, кошулган тармакка баш ийет.
Бул ошондой эле ар бир кулпулоо же башкарылуучу конфигурация колдонуучуга ошол эле өзгөчөлүктү күйгүзүүгө мүмкүндүк берет деген убада эмес. Маршрут өзгөчөлүгү, айланып өтүү желеги жана түзмөктү бөгөттөө саясаты өзүнчө көзөмөлдөр, ал эми башкарылуучу түзмөк үчүнчүсүн тыюп, алгачкы экөөнө уруксат бериши мүмкүн. Белги коюу кутучасынын айланасында долбоорлоого чейин орнотулган профилди жана башкаруу саясатын текшериңиз.
Нускама: өзгөчөлүктү куруп, колдонуңуз
1-кадам: профилди жайылтуу үчүн колдоого алынган жол менен түзүңүз, же башкарылуучу конфигурация, же клиент куруучусу. 2-кадам: VPNди айланып өтүүгө боло турган деп белгилеңиз, анткени жергиликтүү маршрут өзгөчөлүгү онсуз иштебейт. 3-кадам: жергиликтүү маршрут өзгөчөлүгүн күйгүзүңүз. 4-кадам: кызматтын өз аутентификациясын жана сертификатты текшерүүнү күйүк тутуңуз; өзгөчөлүк маршруттоо жөнүндө, ишеним жөнүндө эмес. 5-кадам: сактап, кайра туташыңыз, ошондо профиль колдонулат.
Кайтаруу — ошол эле жол тескери тартипте: өзгөчөлүктү тазалаңыз, анан айланып өтүүнү тазалаңыз, анан кайра туташыңыз. Түзмөктө түз маршрутту же брандмауэр илгичин жамабаңыз. Тармактык демон ошол эрежелерге ээ, ал эми кол менен жасалган эреже башка дарек үй-бүлөсүн, кайра туташууну же тармактык өтүүнү өткөрүп жибериши мүмкүн. Эгер орнотулган конфигурация саясатты билдире албаса, ээси башка долбоорду бекитмейинче катуураак бөгөттөөнү кармап туруңуз.
Маанилүү төрт учурду текшериңиз
Зыянсыз сурамжылоолорду колдонуңуз жана ар бир учурду иштетүүдөн мурун күтүлгөн жыйынтыкты жазыңыз. Төмөнкү матрица — кабыл алуу тести, сунуш эмес: эгер тыюу салынган кандайдыр бир учур ийгиликтүү болсо, өзгөчөлүк саясаттан кененирээк.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
3-учур жеке субнеттин кең айланып өтүүсүн кармайт, ал эми 4-учур өзгөчөлүктү туташуу учурунда гана колдонгон клиентти кармайт. 4-учурду VPN ажыратылган жана телефон уюлдук тармакка көчүрүлгөн абалда иштетиңиз, анан кайра туташып, өзгөчөлүктүн кайра жүктөөсүз кайтып келерин ырастаңыз. Жергиликтүү маршрут API маалымдамасы 2-кадамды милдеттүү кылган айланып өтүү талабын көрсөтөт.
Өзгөчөлүктү жазып, карап чыгыңыз
Сакталган жазуу кызматты, аны негиздеген чөйрөнү, ээсин жана күнүн аташы керек. Жергиликтүү маршруттоо мамилесин сүрөттөйт, ишеним деңгээлин эмес, ал эми телефон кошула турган кийинки тармак өзгөчөлүк бекитилген тармак эмес.
Жазууну ОС жаңыртуусунан, клиент жаңыртуусунан же көчүүдөн кийин карап чыгыңыз. Өзгөчөлүк жаңырган сайын 3-учурду кайра иштетиңиз, анткени айланып өтүүнү бир жолу бир кызмат менен чектеген профилди бир демейки өзгөртүү кеңейтиши мүмкүн.