Tik įtraukti ar tik išbraukti skaidytas tunelis: koks numatytasis?
Pasirinkite numatytąjį dar nesudarę sąrašo: tuneliu siųskite tik tai, ką įvardijate, arba siųskite viską ir išskirkite išimtis. Tada išbandykite programą, kurios niekas neįtraukė į sąrašą.
Atidarykite VPN kliento maršrutizavimo skyrių ir pamatysite du skirtingos formos valdiklius, dažnai nešiojančius tą patį užrašą. Vienas prašo išvardyti paskirties taškus, kurie turi patekti į tunelį, o visa kita toliau naudoja vietinį tinklą. Kitas laiko, kad viskas eina tuneliu, ir klausia, ką reikia išpjauti atgal. Abu pirmo bandymo metu duoda veikiantį tunelį ir abu prižiūrimi pridedant eilučių į sąrašą, todėl skirtumas lieka nematomas tol, kol kas nors neįdiegia ko nors naujo.
Tai numatytasis pasirinkimas, o ne funkcija. Nuspręskite, kol sąraše nėra dvidešimties įrašų.
Numatytąjį skaitykite iš kliento, o ne iš brošiūros
WireGuard atveju šis sprendimas neįprastai matomas, nes AllowedIPs yra įtraukimo sąrašas ir nieko daugiau. Pora su 0.0.0.0/0, ::/0 tuneliuoja viską, o pora su 10.20.0.0/16 tuneliuoja tik tą tinklą. Išskyrimo sintaksės nėra, tad jei norite vieną potinklį palikti nuošalyje, turite išvardyti visus kitus prefiksus arba pridėti politikos maršrutizavimą už sąsajos ribų.
OpenVPN tą patį tašką pasiekia iš kitos pusės: redirect-gateway def1 įrengia visą tunelį, o atskiros route direktyvos prideda arba perrašo konkrečius prefiksus. Komerciniai klientai dažniausiai abu paslepia už žymės langelio ir paskirties taškų lentelės, todėl prieš pasitikėdami užrašu perskaitykite, kurią iš jų lentelė iš tikrųjų keičia.
Klausti reikia ne to, kaip vadinasi žymės langelis. Klausti reikia, kas nutinka paketui, kurio paskirties taško nėra nė viename sąraše. Atsakykite į tai raštu, ir likusi konfigūracija išplauks pati. Praleiskite šį klausimą, ir pirmą nepaaiškinamą gedimą tą dieną nuspręs tas, kas yra arčiausiai kliento.
Sekite programą, kurios niekas neįtraukė
Tik įtraukimo schemoje ta programa eina tiesiai, vietiniu tinklu ir vietiniu DNS. Tik išbraukimo schemoje ji eina tuneliu, tiek, kiek leidžia serveris, ir būtent čia dažnai slypi skirtumas tarp to, ar naujas SaaS įrankis veiks pirmą dieną, ar atsiras bilietas, kad VPN jį sugadino.
Nė vienas numatytasis pats savaime nėra saugesnis. Tik įtraukimo variantas susiaurina, ką tunelis neša, ir vietinį tinklą paverčia mažiausio pasipriešinimo keliu, o tik išbraukimo variantas tunelį laiko įprastu keliu ir išimtis traktuoja kaip išimtis, kas yra arčiau to, ką dauguma įmonių politikų iš tikrųjų turi omenyje.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Atkreipkite dėmesį, kokio tipo objektus platforma išvardija
Android VpnService.Builder leidžiamų programų sąrašą ir draudžiamų programų sąrašą pateikia kaip du atskirus modelius, o taisyklės pagal programą renkasi pagal paketą, o ne pagal paskirties tašką. Į tokį sąrašą įdėta naršyklė nešasi kiekvieną atidaromą paskirties tašką, o tai yra kitokia granuliacija nei maršrutų lentelė ir negali sutaisyti vienos sugedusios svetainės veikiančioje programoje.
Staliniai klientai dažniausiai abi rūšis sumaišo vienoje sąsajoje, todėl patikrinkite, ar eilutė, kurią pridedate, yra paketas, pagrindinio kompiuterio vardas ar prefiksas. Jos klysta skirtingai ir sprendžiamos skirtingose vietose. Vardo eilutė paprastai tampa maršrutu ir vardu, o paketo eilutė yra politikos sprendimas kliento viduje. Užsirašykite, kurią pridėjote, nes vėliau derinantis žmogus laikys, kad buvo kita.
Tikrinkite gedimo būseną, o ne vien gerąjį kelią
Iš tunelio išbraukta programa automatiškai negauna švaraus tiesioginio priėjimo. Jei klientas dar taiko blokavimo be VPN taisyklę, išbrauktas srautas gali būti visiškai numestas, ir tai atrodo kaip sugedusi programa, o ne maršrutizavimo sprendimas. Išbandykite šį atvejį sąmoningai, o ne atraskite jį iš naudotojo pranešimo.
Tada DNS ir IPv6 patikrinkite kaip atskirus punktus. Tunelis, kuris neša tik IPv4, programai, gebančiai v6, palieka aplinkkelį, o split DNS nusprendžia, ar vidiniai vardai sprendžiasi srautui, kuris tuneliu visai neina. Paleiskite sąraše esančią programą, sąraše nesą programą, vardo paiešką ir vieną prisijungimą iš naujo, o rezultatus pasilikite kartu su konfigūracija.
Užrašykite numatytąjį ten, kur jį ras kitas žmogus
Pasirinktą numatytąjį, išimtis ir jų savininkus užrašykite ten pat, kur yra kliento profilis, nes kitas administratorius įrašą pridės neskaitęs šio samprotavimo. Pažymėkite datą ir kiekvienos išimties priežastį, kad pasenusią išimtį svetainei, kuri jau sutvarkyta, būtų galima užtikrintai pašalinti. Sąrašas be priežasčių auga be galo.
Kai kas nors praneša apie vieną sugedusį paskirties tašką, keiskite išimtį, o ne pagrindą. Numatytojo apvertimas dėl vienos svetainės tyliai perkelia visas sąraše nesą programas į kitą tunelio pusę.