Split-Tunneling fir Hotspot-Clienten ass keng App-Ausschloss
Eng App vum VPN auszeschléissen ännert nëmmen den Telefon. Den ugeschlossenen Laptop brauch seng eegen Weiderleitungsregel, ofgestëmmt op Quell, Zil an NAT.
Zwee Ufuerderungen, déi gläich klongen, sinn net déi selwecht: „schléiss dës App vum VPN aus“ a „schéck dëst een Zil baussent dem VPN fir den Laptop op mengem Hotspot“. Déi éischt ännert, wéi eng Socket um Telefon en Netz auswielt. Déi zweet muss eng Weiderleitungsentscheedung fir e Paket änneren, dat vun engem aneren Apparat koum, nodeems den Telefon et schonn ugeholl huet. Béides ze verwiesselen ass de Grond, firwat en Hotspot-Client mat enger Ausnam ophalen, déi ëmmer nëmme fir den eegene Browser vum Telefon gegollt huet.
Zwee Ënnersystemer besëtzen déi zwou Froen
Android hält App-Netzwierker an Tethering getrennt. D'App-Sockele ginn duerch de Konnektivitéitsstack engem Netz zougewise, an eng VPN-App entscheet, wéi eng vun hirenen eegene Sockelen an den Tunnel ginn. Weidergeschéckt Pakete vun engem ugeschlossene Client gi vum Tethering-Ënnersystem behandelt, deen netd no Roude, Politikregelen an Iwwersetzung op der Downstream-Schnittstell freet.
En App-Ausschloss gëtt bewäert, wann eng App eng Socket opmécht. E weidergeschéckte Paket erreecht déi Iwwerpréifung ni, well et net vun enger App-Socket op dësem Apparat staamt. Dat ass deen eenzegen Grond, firwat déi zwou Astellungen sech net ersetzen, an et ass kee Feeler an enger vun deenen zwee.
Wat den App-Ausschloss tatsächlech ännert
E VpnService-Builder kann d'Paketen nennen, déi mat addDisallowedApplication baussent dem Tunnel bleiwen, oder déi eenzeg Paketen nennen, déi mat addAllowedApplication bannen erlaabt sinn. Dës Appen öffnen da Sockelen um ënnerleeënden Netz, während de VPN weider d'Standardroute fir alles anescht besëtzt.
De Beräich ass präzis: déi eege Sockele vum Paket, op dësem Apparat, soulaang den Tunnel steet. Et seet näischt iwwer weidergeschéckte Verkéier, näischt iwwer en zweeten Apparat an näischt iwwer Paketen, déi de System am Numm vum Tethering schéckt.
Et ass och keng Zilsteierung. Eng App auszeschléissen hëlt all Adress eraus, déi dee Browser erreecht, och déi, déi Dir am Tunnel wëllt halen. Wa wann d'Ufuerderung en Zil amplaz vun enger App nennt, ass d'App-Auswiel schonn aus Konstruktioun dat falscht Wierkzeug.
Wéi e weidergeschéckte Paket fir den Telefon ausgesäit
De Paket vum Client kënnt op d'Hotspot-Schnittstell mat enger privater Quelladress, déi den Telefon verginn huet, soe 192.168.43.20, an engem ëffentlechen Zil. Fir en weiderzeschécken brauch den Telefon eng Route op en Uplink an eng Iwwersetzungsregel, sou datt Äntwerten de Wee zréck fannen, well d'privat Adress vum Client am Mobilfunknetz sënnlos ass.
Android dréckt dat mat Politikregelen aus, déi eng Routingtabelle auswielen, an netd baut déi relevant Tabellen a Regelen nei op, wann sech Netzwierker a VPNen änneren. Eng Tabellennummer, eng Regelprioritéit oder en Interface-Numm, aus engem Forumsbäitrag kopéiert oder vum selwechte Modell an enger eelerer Versioun, begrënnt kee dauerhafte Besëtz. Dësen Neiopbau ass och de Grond, firwat eng handgeschriwwe Regel eng Stonn ka schaffen an no der nächster Widderverbindung ophalen.
Wéi eng Politik eng Hotspot-Ausnam wierklech brauch
Schreift d'Entscheedung als Quell, Zil an ugedaachte Wee op, ier Dir eng Regel beréiert. Déi minimal Form fir en eenzegt guttgeheescht Zil gesäit sou aus:
| Source | Destination | Intended path |
|---|---|---|
| One authorized hotspot client | One approved public service address | Ordinary cellular uplink |
| The same client | All other covered destinations | Shared VPN |
| The phone's own apps | Their existing destinations | Unchanged phone policy |
Béid Richtunge musse komplett sinn. Den direkte Branche brauch eng brauchbar Route iwwer den Mobilfunk-Uplink, dee just elo aktuell ass; de VPN-Branche brauch d'Tunnelroute plus Erlaabnis weiderzeschécken. All QuellIwwersetzung muss zum gewielten Ausgang passen, well NAT, deen op enger Tunnelschnittstell ugewannt gëtt, d'Tunneladress weist an net déi mobil, an dann stëmmt de Réckwee net mam Hiwwee iwweren.
Äntwerten mussen dee selwechten Downstream-Client iwwer verfollegten Zoustand oder eng explizit Route erreechen, an en Zähler fir erausginn Pakete beweist dovun näischt. Halt och den eegene baussenzege Transport vum VPN baussent dem Beräich vun der Ausnam, soss ierwen d'Drägerpakete vum Tunnel eng Politik, déi fir eng Webufro vun engem Client geschriwwe gouf.
Eng agefangen Adress ass keen Zil
Eng eenzeg IPv4-Adress, aus engem Browser gelies, ass eng Momentopnam. Grouss Servicer äntwerten aus Anycast oder aus engem rotéierende Set Randadressen, vill si Duebelstack, an e Login-Floss kann Authentifikatiouns- an Telemetrie-Hoste beréieren, déi d'Säit ni weist. Eng Ausnam, déi ëm déi Adress gebaut ass, déi Dir zoufälleg gesinn hutt, brécht déi nächst Kéier, wann de Service d'Laascht nei ausgläicht.
Benotzt déi dokumentéiert Adressen vum Besëtzer vum Service oder e Beräich, deen en publizéiert, a rechent mat béiden Adressfamilljen. Wann d'Ufuerderung sech net als stabilt Set ausdrécke léisst, ass et wahrscheinlech eng Politikfro fir de Service an net en Routingstrick um Telefon.
Verifizéiert vun der Downstream-Säit
Dräi Kontrollen, an dëser Reihenfolg: de gewielte Service vum Laptop, en gewéinlecht Zil, dat am VPN misst bleiwen, an eng Telefon-App, déi onberéiert misst bleiwen. Widderhielt dat duerno no enger Widderverbindung an no engem Uplinkwiessel, well dann ginn d'Politikstabellen nei opgebaut.
Wann d'Deelungsimplementéierung vum Telefon dee Kontrakt iwwer eng Widderverbindung net ka halen, verlagert d'selektiv Politik op en ënnerstützten Downstream-Router, amplaz Root-Regelen um Apparat ze sammelen. En Router ka Quell- an Zilofgläichung mat engem stabile Besëtzer ausdrécken, an d' Dokumentatioun vum Tethering-Modul ass déi richteg Referenz fir dat, wat den Telefon tatsächlech mécht.