Nëmmen Aschléissen oder nëmmen Ausschléissen: wéi ee Standard?
Wielt de Standard, ier dir d'Lëscht opbaut: nëmmen tunnelen, wat dir nennt, oder alles tunnelen an Ausnamen erausschneiden. Da test dir d'App, déi keen agedroen huet.
Maacht d'Routingsektioun vun Ärem VPN-Client op, an dir gesitt zwee ënnerschiddlech geformt Bedienelementer, déi dacks déiselwecht Bezeechnung droen. Dat eng freet Iech, d'Destinatiounen opzelëschten, déi an den Tunnel gehéieren, an alles anescht notzt weider dat lokalt Netzwierk. Dat anert setzt viraus, datt alles getunnelt gëtt, a freet, wat erëm erausgeholl soll ginn. Béid liwweren beim éischten Test en funktionéierenden Tunnel, a béid ginn ënnerhalen, andeems een Zeilen un eng Lëscht bäisetzt, dofir bleift den Ënnerscheed onsiichtbar, bis een eppes Neies installéiert.
D'Wiel ass ee Standard, keng Funktioun. Maacht en fest, ier d'Lëscht zwanzeg Andro huet.
De Standard um Client ofliesen, net an der Broschür
WireGuard mécht d'Entscheedung ongewéinlech siichtbar, well AllowedIPs eng Aschléisslëscht an soss näischt ass. E Peer mat 0.0.0.0/0, ::/0 tunnelt alles; e Peer mat 10.20.0.0/16 tunnelt nëmmen dat. Et gëtt keng Ausschléiss-Syntax, also wann dir een Subnet wëllt ausloossen, musst dir all aner Prefixen opzielen oder baussent der Interface Policy-Routing bäisetzen.
OpenVPN erreecht déiselwecht Plaz aus der anerer Richtung, mat redirect-gateway def1, dat en vollstännegen Tunnel installéiert, an expliziten route-Direktiven, déi spezifesch Prefixen bäisetzen oder iwwerschreiwen. Kommerziell Cliente verstoppen déi zwee meeschtens hannert enger Këscht an enger Destinatiounstabell, also liest, wéi eng vun deenen zwee d'Tabell tatsächlech ännert, ier dir der Bezeechnung vertraut.
D'Fro ass net, wéi d'Këscht heescht. D'Fro ass, wat mat engem Pak geschitt, deem seng Destinatioun an kenger vun deenen zwou Lëschten ass. Äntwert dat op Pabeier, an de Rescht vun der Konfiguratioun follegt doraus. Wien d'Fro iwwerspréngt, iwwerléisst déi éischt onerkläert Stéierung deemjenegen, deen deen Dag am noosten um Client sëtzt.
Enger Applikatioun folgen, déi keen agedroen huet
An engem Design nëmmen mat Aschléissen geet déi Applikatioun direkt, iwwer dat lokal Netzwierk, mam lokalen DNS. An engem Design nëmmen mat Ausschléissen geet se duerch den Tunnel, sou wäit wéi de Server et zouloosst, an dat ass dacks den Ënnerscheed tëscht engem neie SaaS-Werkzeug, dat den éischten Dag funktionéiert, an engem Ticket, dat seet, d'VPN hätt et futti gemaach.
Keen vun deenen zwee Standarden ass fir sech méi sécher. Aschléissen enkert, wat den Tunnel dréit, a mécht dat lokal Netzwierk zum Wee vum mannsten Widderstand; Ausschléissen hëlt den Tunnel als normale Wee a behandelt Ausnamen als Ausnamen, wat méi no kommen ass un wat déi meeschst Firmepolitike wierklech wëllen.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Opginn, watfir eng Zort Objet d'Plattform oplëscht
D'VpnService.Builder vun Android bitt eng Lëscht mat erlaabten an eng Lëscht mat verbuedenen Applikatiounen als zwee getrennte Modeller, an App-Regele wielen no Paket amplaz no Destinatioun. E Browser an esou enger Lëscht dréit all Destinatioun mat, déi en opmécht, wat eng aner Granularitéit wéi eng Routentabell ass a keng eenzeg futti Säit bannent enger funktionéierender App reparéiere kann.
Desktop-Cliente mëschen déi zwou Zorte meeschtens an enger Interface, also kontrolléiert, ob d'Zeilen, déi dir bäisetzt, e Paket, en Hostname oder e Prefix ass. Si versoen op verschidde Manéieren, a si ginn u verschiddene Plazen opgeléist. Eng Hostname-Zeil gëtt meeschtens eng Route plus en Numm, wärend eng Paketzeil eng Richtlinneentscheedung am Client gëtt. Schreift op, wéi eng vun deenen zwee dir bäigesat hutt, well wien et méi spéit debuggt, wäert déi aner unhuelen.
De Feelerfall testen, net nëmmen de gléckleche Wee
Eng Applikatioun, déi aus dem Tunnel ausgeschloss ass, kritt net automatesch propperen direkten Zougang. Wann de Client zousätzlech eng Regel duerchsetzt, déi ouni VPN blockéiert, kann den ausgeschlossene Verkéier ganz verworf ginn, wat wéi eng futti App ausgesäit an net wéi eng Routing-Entscheedung. Test dee Fall bewosst, amplaz en aus engem Benotzerrapport ze léieren.
Kontrolléiert duerno DNS an IPv6 als getrennte Punkten. En Tunnel, deen nëmmen IPv4 dréit, léisst enger v6-fäeger Applikatioun e Wee ronderëm, a Split-DNS entscheet, ob intern Nimm fir Verkéier opgeléist ginn, deen iwwerhaapt net getunnelt gëtt. Féiert eng App aus der Lëscht, eng App déi net op der Lëscht steet, eng Nummopléisung an eng Neiverbindung aus, a behält d'Resultater bei der Konfiguratioun.
De Standard do opschreiwen, wou déi nächst Persoun en fënnt
Hält de gewielten Standard, d'Ausnamen a wien se gehéiert op déiselwecht Plaz wéi de Clientprofil fest, well den nächsten Administrateur en Andro bäisetzt, ouni dës Begrënnung ze liesen. Notéiert Datum a Grond vun all Ausnam, sou datt eng al Ausnam fir eng Säit, déi an der Tëschenzäit reparéiert gouf, mat Vertraue kënne ewechgeholl ginn. Eng Lëscht ouni Grënn wuesse fir ëmmer.
Wann een eng eenzeg futti Destinatioun mellt, ännert d'Ausnam an net d'Basislinn. De Standard ëmdréien, fir eng eenzeg Säit ze retten, verréckelt stëlz all Applikatioun, déi net op der Lëscht steet, op déi aner Säit vum Tunnel.