VPN-Ausnam fir de Heem-LAN op Android: e Runbook fir eng eenzeg Servicer
Schléis nëmmen dee Heemservice aus, deen s du guttgeheescht hues, net all privat Routen. Schréif d’Politik, benotz eng ëmgoe bar VPN an test duerno de Feeler am Gäschenetz.
Du wëlls een Heemservice erreechbar halen, wärend d’VPN fir alles anescht a Kraaft bleift. Déi verlockend Astellung ass eng Ausnam fir déi lokal Route, déi all privat Adress deckt, an dat ass déi falsch Kontroll: am nächsten Hotel- oder Cafénetz kann s’s alles, wat äntwert, zu engem Ëmwee maachen. Dëst Runbook begrenzt d’Ausnam op eng eenzeg Servicer a beweise se ënner den Iwwergäng, déi se briechen.
Definéier d’Ausnam als Service, net als Subnetz
Notéier d’App, den Hostnumm an d’Adress vum Zil, de Protokoll an de Port, d’Netz wou et erlaabt ass, an d’Identitéitspréifung, déi de Service selwer mécht. Bei engem NAS mat Authentifikatioun ass et den Zertifikat oder de Kont, dee bewise kann, datt s du déi richteg Maschinn erreecht hues. Eng Adress an 192.168.0.0/16 beweist näischt, well all Heemrouter déi selwecht Präfixer verdeelt.
Entscheed och, wat no heescht. E Service op engem gerouteten VLAN ass net am Subnetz, dat direkt mam Telefon verbonnen ass, an e Gäschte-Wi-Fi kann dee selwechte private Präfix wéi d’Heem deelen an trotzdem eng ganz aner Maschinn sinn. D’Ausnam soll de Service an d’Ëmfeld nennen, net nëmmen de Adressberäich.
Confirméier, datt d’Plattformkontroll zum Ufuerderung passt
Den IKEv2-Profilbuilder vun Android bitt setLocalRoutesExcluded(true), an seng Dokumentatioun fuerdert eng ëmgoe bar VPN: d’Ausnam gëtt nëmmen dann Sënn, wann de Client den Trafic erlaabt, um Tunnel laanscht ze goen. Déi selwecht Dokumentatioun warnt, datt d’Grondnetz Routen ubidden kann, déi d’Ausnam beaflossen, dofir follegt d’Astellung dem Netz, an dat s du gös, net dem Netz, deem s du vertrausch.
Et ass och keen Versprieche, datt all Sperr oder geréiert Konfiguratioun dem Benotzer erlaabt, déi selwecht Ausnam z’aktivéieren. D’Routenausnam, de Flag fir Ëmgoe an d’Politik fir d’Apparat ze spären sinn getrennt Kontrollen, an e geréierten Apparat kann dat Drëtt verbidden, während en déi éischt zwee erlaabt. Préif de installéierte Profil an d’Gestiounspolitik, ier s du ronderëm eng Këscht designes.
Runbook: bau an uwenn d’Ausnam
Schrëtt 1: erstell de Profil iwwer dee ënnerstëtzten Wee fir d’Deployment, entweder déi geréiert Konfiguratioun oder de Clientbuilder. Schrëtt 2: markéier d’VPN als ëmgoe bar, well d’Ausnam vun der lokaler Route ouni dat net wierkt. Schrëtt 3: aktivéier d’Ausnam vun der lokaler Route. Schrëtt 4: loos d’Authentifikatioun vum Service selwer an d’Zertifikatspréifung aktiv; d’Ausnam geet ëm Routing, net ëm Vertrauen. Schrëtt 5: späicher an verbann nei, sou datt de Profil ugewannt gëtt.
D’Zeréckréckele geet dee selwechte Wee réckwärts: läsch d’Ausnam, dann läsch d’Ëmgoe, dann verbann nei. Patch keng Route an keen Firewallshaken direkt um Apparat. Den Netzdämon besëtzt déi Regelen, an eng manuell Regel kann eng aner Adressfamill, eng Neiverbindung oder en Netziwwergang verpassen. Wann déi installéiert Konfiguratioun d’Politik net ausdrécke kann, hal déi méi streng Spär, bis den Eegentemer en anert Design guttgeheescht.
Test déi véier Fäll, déi zielen
Benotz harmlos Ufroen a schréif dat erwaart Resultat op, ier s du all Fall ausféiers. D’Matrix hei drënner ass den Acceptatiounstest, net eng Suggestioun: wann en ofgeleente Fall geléngt, ass d’Ausnam méi breet wéi d’Politik.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
Fall 3 ass deen, deen en breede Ëmwee iwwer e privat Subnetz fänkt, a Fall 4 fänkt e Client, deen d’Ausnam nëmme beim Verbannen ugewannt huet. Féier Fall 4 aus mat getrenntem VPN a mam Telefon op de mobilen Netz, verbann duerno nei a confirméier, datt d’Ausnam ouni Neistart zréckkënnt. D’API-Referenz vun der lokaler Route nennt d’Ufuerderung fir Ëmgoe, déi de Schrëtt 2 onëmgänglech mécht.
Dokumentéier d’Ausnam a préif se no
Dee gefleegten Agrag soll de Service, d’Ëmfeld, dat se gerechtfertegt huet, den Eegentemer an den Datum nennen. Lokal beschreift eng Routingbezéiung, keng Vertrauensstuf, an dat nächst Netz, an dat den Telefon geet, ass net dat Netz, wou d’Ausnam guttgeheescht gouf.
Préif den Agrag no engem OS-Update, engem Clientupdate oder engem Ëmzuch no. Féier Fall 3 all Kéier aus, wann d’Ausnam erneiert gëtt, well e Profil, deen den Ëmwee eemol op ee Service begrenzt huet, duerch eng eenzeg Standardännerung ka verbreet ginn.