VPN izņēmums mājas LAN tīklā operētājsistēmā Android: vienas pakalpojuma rokasgrāmata
Izslēdziet tikai apstiprināto mājas pakalpojumu, nevis visus privātos maršrutus. Uzrakstiet politiku, izmantojiet apietamu VPN un pēc tam pārbaudiet viesu tīkla kļūmi.
Jūs vēlaties, lai viens mājas pakalpojums būtu sasniedzams, kamēr VPN paliek spēkā visam pārējam. Kārdinošais iestatījums ir vietējā maršruta izņēmums, kas aptver katru privāto adresi, un tā ir nepareizā kontrole: nākamajā viesnīcas vai kafejnīcas tīklā tas var pārvērst jebko, kas atbild, apiešanas ceļā. Šī rokasgrāmata sašaurina izņēmumu līdz vienam pakalpojumam un pierāda to pārejās, kas to salauž.
Definējiet izņēmumu kā pakalpojumu, nevis apakštīklu
Pierakstiet lietotni, galamērķa resursdatora nosaukumu un adresi, protokolu un portu, tīklu, kurā tas atļauts, un identitātes pārbaudi, ko veic pats pakalpojums. NAS ar autentifikāciju sertifikāts vai konts pierāda, ka esat sasniedzis pareizo mašīnu. Adrese 192.168.0.0/16 neko nepierāda, jo katrs mājas maršrutētājs izdala tos pašus prefiksus.
Izlemiet arī, ko nozīmē tuvu. Pakalpojums maršrutētā VLAN nav apakštīklā, kas tieši savienots ar tālruni, un viesu Wi-Fi var koplietot to pašu privāto prefiksu ar mājām un tomēr būt pilnīgi cita mašīna. Izņēmumam jānosauc pakalpojums un vide, ne tikai adrešu diapazons.
Pārliecinieties, ka platformas kontrole atbilst prasībai
Android IKEv2 profila veidotājs nodrošina setLocalRoutesExcluded(true), un tā dokumentācija prasa apietamu VPN: izņēmumam ir jēga tikai tad, kad klients ļauj trafikam apiet tuneli. Tā pati dokumentācija brīdina, ka pamata tīkls var piegādāt maršrutus, kas ietekmē izņēmumu, tāpēc iestatījums seko tīklam, kuram pievienojaties, nevis tīklam, kuram uzticaties.
Tas arī nav solījums, ka katrs bloķējums vai pārvaldīta konfigurācija ļaus lietotājam iespējot to pašu izņēmumu. Maršruta izņēmums, apiešanas karodziņš un ierīces bloķēšanas politika ir atsevišķas kontroles, un pārvaldīta ierīce var aizliegt trešo, kamēr atļauj pirmās divas. Pārbaudiet instalēto profilu un pārvaldības politiku pirms projektēšanas ap izvēles rūtiņu.
Rokasgrāmata: izveidojiet un piemērojiet izņēmumu
1. solis: izveidojiet profilu atbalstītajā izvietošanas ceļā, vai nu pārvaldīto konfigurāciju, vai klienta veidotāju. 2. solis: atzīmējiet VPN kā apietamu, jo vietējā maršruta izņēmums bez tā nedarbojas. 3. solis: iespējojiet vietējā maršruta izņēmumu. 4. solis: atstājiet iespējotu paša pakalpojuma autentifikāciju un sertifikāta validāciju; izņēmums ir par maršrutēšanu, ne par uzticēšanos. 5. solis: saglabājiet un pievienojieties no jauna, lai profils tiktu piemērots.
Atritināšana ir tas pats ceļš pretējā secībā: notīriet izņēmumu, pēc tam notīriet apiešanu, pēc tam pievienojieties no jauna. Nelāpiet maršrutu vai ugunsmūra āķi tieši ierīcē. Tīkla dēmons pārvalda šos noteikumus, un manuāls noteikums var palaist garām citu adrešu saimi, atkārtotu savienojumu vai tīkla pāreju. Ja instalētā konfigurācija nevar izteikt politiku, saglabājiet stingrāko bloķēšanu, līdz īpašnieks apstiprina citu dizainu.
Pārbaudiet četrus svarīgos gadījumus
Izmantojiet nekaitīgus pieprasījumus un pierakstiet gaidīto rezultātu pirms katra gadījuma izpildes. Zemāk esošā matrica ir pieņemšanas tests, nevis ieteikums: ja kāds aizliegts gadījums izdodas, izņēmums ir plašāks par politiku.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
3. gadījums uztver plašu privātā apakštīkla apiešanu, un 4. gadījums uztver klientu, kas izņēmumu piemēroja tikai savienojoties. Izpildiet 4. gadījumu ar atvienotu VPN un tālruni pārvietotu uz mobilo tīklu, pēc tam pievienojieties no jauna un apstipriniet, ka izņēmums atgriežas bez pārstartēšanas. Vietējā maršruta API atsauce norāda apiešanas prasību, kas 2. soli padara obligātu.
Reģistrējiet izņēmumu un pārskatiet to
Uzturētajā ierakstā jānosauc pakalpojums, to attaisnojošā vide, īpašnieks un datums. Vietējs apraksta maršrutēšanas attiecības, nevis uzticēšanās līmeni, un nākamais tīkls, kuram tālrunis pievienosies, nav tīkls, kurā izņēmums tika apstiprināts.
Pārskatiet ierakstu pēc OS atjauninājuma, klienta atjauninājuma vai pārcelšanās. Atkārtojiet 3. gadījumu katru reizi, kad izņēmums tiek atjaunots, jo profilu, kas savulaik ierobežoja apiešanu ar vienu pakalpojumu, var paplašināt ar vienu noklusējuma izmaiņu.