Хотспот кардарлары үчүн бөлүнгөн туннель колдонмо боюнча четтетүү эмес
Колдонмону VPNден чыгаруу телефонду гана өзгөртөт. Туташтырылган ноутбукка булак, багыт жана NAT боюнча дал келтирилген өзүнүн өткөрүү эрежеси керек.
Бирдей угулган эки талап бирдей эмес: «бул колдонмону VPNден чыгар» жана «ушул бир багытты менин хотспотумдагы ноутбук үчүн VPNден сыртка жөнөт». Биринчиси телефондогу сокеттин тармакты кантип тандаарын өзгөртөт. Экинчиси телефон кабыл алып бүткөндөн кийин башка түзмөктөн келген пакет үчүн өткөрүү чечимин өзгөртүшү керек. Экөөнү алмаштыруу хотспот кардарында дайыма телефондун өзүнүн браузерине гана тиешелүү болгон өзгөчөлүктү калтырат.
Эки суроого эки ички тутум ээ
Android колдонмолордун тармагын жана тетерингди өз-өзүнчө кармайт. Колдонмо сокеттерин тармакка туташуу стеги дайындайт, VPN колдонмосу өз сокеттеринин кайсынысы туннелге кирерин чечет. Туташтырылган кардардан өткөрүлгөн пакеттерди тетеринг ички тутуму иштетет, ал netdден маршруттарды, саясат эрежелерин жана төмөнкү интерфейсте которууну сурайт.
Колдонмо боюнча четтетүү колдонмо сокет ачканда бааланат. Өткөрүлгөн пакет бул текшерүүгө эч качан жетпейт, анткени ал ушул түзмөктөгү колдонмо сокетинен келип чыккан эмес. Эки жөндөөнүн бири-бирин алмаштыра албашынын бүткүл себеби ушул, жана бул экөөнүн эч биринде кемчилик эмес.
Колдонмо боюнча четтетүү чындыгында эмнени өзгөртөт
VpnService куруучусу addDisallowedApplication аркылуу туннелден сыртта калган пакеттерди атай алат, же addAllowedApplication аркылуу ичинде уруксат берилген жалгыз пакеттерди атай алат. Ошол колдонмолор андан кийин негизги тармакта сокеттерди ачат, VPN калган бардыгы үчүн демейки маршрутту ээлеп турат.
Камтуу так: пакеттин өз сокеттери, ушул түзмөктө, туннель көтөрүлгөн убакытта. Ал өткөрүлгөн трафик жөнүндө эч нерсе айтпайт, экинчи түзмөк жөнүндө да, система тетерингдин атынан жөнөткөн пакеттер жөнүндө да эч нерсе айтпайт.
Бул багытты көзөмөлдөө да эмес. Браузерди четтетүү ошол браузер жеткен ар бир даректи четтетет, анын ичинде туннелдин ичинде калтыргыңыз келгенин да. Талап колдонмонун ордуна багытты атаганда, колдонмо тандагыч түзүлүшү боюнча эле туура эмес курал.
Өткөрүлгөн пакет телефонго кандай көрүнөт
Кардардын пакети хотспот интерфейсине телефон дайындаган жеке булак дареги менен, айталы, 192.168.43.20, жана коомдук багыт менен келет. Аны өткөрүү үчүн телефонго жогорку звеного маршрут жана жооптор кайра жол табышы үчүн которуу эрежеси керек, анткени кардардын жеке дареги уюлдук тармакта маанисиз.
Android муну маршруттоо таблицасын тандаган саясат эрежелери менен туюнтат, ал эми тармактар жана VPNдер өзгөргөндө netd тиешелүү таблицаларды жана эрежелерди кайра курат. Форум билдирүүсүнөн же ошол эле моделдин эски чыгарылышынан көчүрүлгөн таблица номери, эреженин артыкчылыгы же интерфейс аталышы туруктуу ээликти орнотпойт. Ушул кайра куруу кол менен жазылган эреженин бир саат иштеп, кийинки кайра туташуудан кийин токтоп калышынын да себеби.
Хотспот өзгөчөлүгүнө чындыгында кандай саясат керек
Эрежеге кол тийгизе электе чечимди булак, багыт жана көздөлгөн жол катары жазыңыз. Бир бекитилген багыт үчүн эң аз форма мындай көрүнөт:
| Source | Destination | Intended path |
|---|---|---|
| One authorized hotspot client | One approved public service address | Ordinary cellular uplink |
| The same client | All other covered destinations | Shared VPN |
| The phone's own apps | Their existing destinations | Unchanged phone policy |
Эки багыт тең толук болушу керек. Түз бутакка азыркы учурда болгон уюлдук жогорку звено аркылуу колдонууга жарактуу маршрут керек; VPN бутагына туннелдин маршруту жана өткөрүүгө уруксат керек. Каалаган булак которуусу сиз тандаган чыгууга дал келиши керек, анткени туннелдин интерфейсинде колдонулган NAT туннелдин дарегин көрсөтөт, уюлдуктукун эмес, ошондо кайтуу жолу чыгуу жолуна дал келбейт.
Жооптор көзөмөлдөнгөн абал же ачык маршрут аркылуу ошол эле төмөнкү кардарга жетиши керек, ал эми чыгуучу пакеттердин эсептегичи мунун эч бирин далилдебейт. VPNдин өзүнүн тышкы ташуусун да өзгөчөлүктүн камтуусунан сыртка кармаңыз, болбосо туннелдин ташуучу пакеттери кардардын веб сурамы үчүн жазылган саясатты мураска алышат.
Кармалган бир дарек багыт эмес
Браузерден окулган бир IPv4 дареги лездик сүрөт. Ири кызматтар anycastтен же айланып турган четирги даректердин топтомунан жооп берет, көпчүлүгү кош катмарлуу, ал эми кирүү агымы барак эч качан көрсөтпөгөн аутентификация жана телеметрия хостторуна тийиши мүмкүн. Кокустан көргөн дарегиңиздин айланасында курулган өзгөчөлүк кызмат жүктөмдү кайра бөлгөндө кийинки жолу бузулат.
Кызматтын ээсинин документтештирилген даректерин же ал жарыялаган диапазонду колдонуңуз жана эки дарек үй-бүлөсүн тең эске алыңыз. Эгер талапты туруктуу топтом катары туюнтуу мүмкүн болбосо, ал кызмат үчүн саясат маселеси болушу ыктымал, телефондогу маршруттоо амалы эмес.
Төмөнкү тараптан текшериңиз
Үч текшерүү, ушул тартипте: ноутбуктан тандалган кызмат, VPNдин ичинде калышы керек болгон кадимки багыт жана тийбеши керек телефон колдонмосу. Андан кийин кайра туташуудан жана жогорку звено өзгөргөндөн кийин кайталаңыз, анткени саясат таблицалары дал ошондо кайра курулат.
Эгер телефондун бөлүшүү ишке ашырылышы бул келишимди кайра туташуу боюнча кармай албаса, тандоо саясатын түзмөктө root эрежелерин топтоонун ордуна колдоого алынган төмөнкү маршрутизаторго өткөрүңүз. Маршрутизатор туруктуу ээси менен булактын жана багыттын дал келишин туюнта алат, жана тетеринг модулунун документинде телефон чындыгында эмне кылаарынын туура шилтемеси бар.