VPN išimtis namų LAN tinkle „Android“: vienos paslaugos vadovas
Išskirkite tik patvirtintą namų paslaugą, o ne visus privačius maršrutus. Parašykite politiką, naudokite apeinamą VPN ir tada išbandykite svečių tinklo gedimą.
Norite, kad viena namų paslauga būtų pasiekiama, o VPN liktų galioti viskam kitam. Viliojantis nustatymas yra vietinio maršruto išimtis, apimanti kiekvieną privatų adresą, ir tai yra netinkama kontrolė: kitame viešbučio ar kavinės tinkle ji gali paversti bet ką, kas atsako, apėjimo keliu. Šis vadovas susiaurina išimtį iki vienos paslaugos ir įrodo ją tuose perėjimuose, kurie ją sulaužo.
Apibrėžkite išimtį kaip paslaugą, o ne kaip potinklį
Užsirašykite programą, paskirties hosto vardą ir adresą, protokolą ir prievadą, tinklą, kuriame tai leidžiama, ir tapatybės patikrą, kurią atlieka pati paslauga. Jei NAS naudoja autentifikavimą, sertifikatas arba paskyra įrodo, kad pasiekėte tinkamą mašiną. Adresas 192.168.0.0/16 nieko neįrodo, nes kiekvienas namų maršrutizatorius dalija tuos pačius prefiksus.
Taip pat nuspręskite, ką reiškia arti. Paslauga maršrutizuotame VLAN nėra potinkyje, tiesiogiai prijungtame prie telefono, o svečių Wi-Fi gali dalytis tuo pačiu privačiu prefiksu su namais ir vis tiek būti visiškai kita mašina. Išimtis turi įvardyti paslaugą ir aplinką, ne tik adresų diapazoną.
Įsitikinkite, kad platformos kontrolė atitinka reikalavimą
Android IKEv2 profilio kūrėjas suteikia setLocalRoutesExcluded(true), o jo dokumentacija reikalauja apeinamos VPN: išimtis prasminga tik tada, kai klientas leidžia srautui apeiti tunelį. Ta pati dokumentacija įspėja, kad pagrindinis tinklas gali pateikti maršrutus, kurie veikia išimtį, todėl nustatymas seka tinklą, prie kurio jungiatės, o ne tinklą, kuriuo pasitikite.
Tai taip pat ne pažadas, kad kiekvienas užraktas ar valdoma konfigūracija leis naudotojui įjungti tą pačią išimtį. Maršruto išimtis, apeinamumo vėliavėlė ir įrenginio blokavimo politika yra atskiros kontrolės, o valdomas įrenginys gali uždrausti trečiąją, leisdamas pirmąsias dvi. Patikrinkite įdiegtą profilį ir valdymo politiką prieš projektuodami aplink žymimąjį laukelį.
Vadovas: sukurkite ir pritaikykite išimtį
1 žingsnis: sukurkite profilį palaikomu diegimo keliu, valdomą konfigūraciją arba kliento kūrėją. 2 žingsnis: pažymėkite VPN kaip apeinamą, nes vietinio maršruto išimtis be to neveikia. 3 žingsnis: įjunkite vietinio maršruto išimtį. 4 žingsnis: palikite įjungtą pačios paslaugos autentifikavimą ir sertifikato tikrinimą; išimtis apie maršrutizavimą, ne apie pasitikėjimą. 5 žingsnis: išsaugokite ir prisijunkite iš naujo, kad profilis būtų pritaikytas.
Atšaukimas yra tas pats kelias atvirkščia tvarka: išvalykite išimtį, tada išvalykite apeinamumą, tada prisijunkite iš naujo. Nelopkite maršruto ar ugniasienės kablio tiesiai įrenginyje. Tinklo demonas valdo tas taisykles, o rankinė taisyklė gali praleisti kitą adresų šeimą, prisijungimą iš naujo ar tinklo perėjimą. Jei įdiegta konfigūracija negali išreikšti politikos, laikykitės griežtesnio blokavimo, kol savininkas patvirtins kitą projektą.
Išbandykite keturis svarbius atvejus
Naudokite nekenksmingas užklausas ir užsirašykite laukiamą rezultatą prieš kiekvieną atvejį. Toliau pateikta matrica yra priėmimo testas, ne pasiūlymas: jei kuris nors uždraustas atvejis pavyksta, išimtis platesnė už politiką.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
3 atvejis pagauna platų privataus potinklio apėjimą, o 4 atvejis pagauna klientą, kuris išimtį pritaikė tik jungiantis. Vykdykite 4 atvejį su atjungta VPN ir telefonu perkeltu į mobilųjį tinklą, tada prisijunkite iš naujo ir patvirtinkite, kad išimtis grįžta be perkrovimo. Vietinio maršruto API nuoroda nurodo apeinamumo reikalavimą, kuris 2 žingsnį daro privalomą.
Užregistruokite išimtį ir ją peržiūrėkite
Palaikomas įrašas turi įvardyti paslaugą, ją pateisinusią aplinką, savininką ir datą. Vietinis apibūdina maršrutizavimo ryšį, ne pasitikėjimo lygį, o kitas tinklas, prie kurio prisijungs telefonas, nėra tinklas, kuriame išimtis buvo patvirtinta.
Peržiūrėkite įrašą po OS atnaujinimo, kliento atnaujinimo ar persikraustymo. Kiekvieną kartą atnaujinus išimtį vėl vykdykite 3 atvejį, nes profilis, kuris kadaise apribojo apėjimą viena paslauga, gali būti išplėstas vienu numatytuoju pakeitimu.