Исклучок за VPN за домашната LAN на Android: прирачник за една услуга
Исклучете ја само одобрената домашна услуга, а не сите приватни рути. Напишете ја политиката, користете VPN што може да се заобиколи, па тестирајте го откажувањето на гостинската мрежа.
Сакате една домашна услуга да биде достапна додека VPN останува во сила за сѐ друго. Привлечното нагодување е исклучок на локалната рута што покрива секоја приватна адреса, а тоа е погрешната контрола: на следната хотелска или кафе-мрежа може да претвори сѐ што одговара во заобиколница. Овој прирачник го сведува исклучокот на една услуга и го докажува при премините што го кршат.
Дефинирајте го исклучокот како услуга, а не како подмрежа
Запишете ја апликацијата, името на домаќинот и адресата на целта, протоколот и портата, мрежата во која е дозволено, и проверката на идентитет што самата услуга ја врши. Кај NAS со автентикација, сертификатот или сметката докажуваат дека сте стигнале до вистинската машина. Адреса во 192.168.0.0/16 не докажува ништо, зашто секој домашен рутер ги дели истите префикси.
Одлучете и што значи близу. Услуга на рутиран VLAN не е на подмрежата што е директно поврзана со телефонот, а гостински Wi-Fi може да го дели истиот приватен префикс со домот, а сепак да е сосема друга машина. Исклучокот треба да ги именува услугата и околината, не само опсегот на адреси.
Потврдете дека контролата на платформата одговара на барањето
Градителот на IKEv2 профили на Android изложува setLocalRoutesExcluded(true), а неговата документација бара VPN што може да се заобиколи: исклучокот има смисла само кога клиентот дозволува сообраќајот да го заобиколи тунелот. Истата документација предупредува дека основната мрежа може да достави рути што влијаат на исклучокот, затоа нагодувањето ја следи мрежата кон која се приклучувате, а не мрежата на која ѝ верувате.
Тоа исто така не е ветување дека секое заклучување или управувана конфигурација ќе му дозволи на корисникот да го вклучи истиот исклучок. Исклучокот на рута, знаменцето за заобиколување и политиката за блокирање на уредот се одделни контроли, а управуван уред може да ја забрани третата додека ги дозволува првите две. Проверете го инсталираниот профил и политиката за управување пред да проектирате околу квадратче.
Прирачник: изградете и применете го исклучокот
Чекор 1: креирајте го профилот преку поддржаниот пат за распоредување, или управуваната конфигурација или градителот на клиентот. Чекор 2: означете го VPN како заобиколив, зашто исклучокот на локалната рута без тоа не дејствува. Чекор 3: вклучете го исклучокот на локалната рута. Чекор 4: оставете ја сопствената автентикација на услугата и проверката на сертификатот вклучени; исклучокот е за рутирање, не за доверба. Чекор 5: зачувајте и поврзете се повторно за да се примени профилот.
Враќањето е истиот пат во обратен редослед: исчистете го исклучокот, потоа исчистете ја можноста за заобиколување, потоа поврзете се повторно. Не крпајте рута или кука на огнено ѕид директно на уредот. Мрежниот демон ги поседува тие правила, а рачното правило може да пропушти друга фамилија адреси, повторно поврзување или мрежен премин. Ако инсталираната конфигурација не може да ја изрази политиката, задржете ја построгата блокада додека сопственикот не одобри друг дизајн.
Тестирајте ги четирите важни случаи
Користете безопасни барања и запишете го очекуваниот резултат пред да го извршите секој случај. Матрицата подолу е прифатен тест, не предлог: ако успее било кој забранет случај, исклучокот е поширок од политиката.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
Случај 3 е тој што фаќа широка заобиколница на приватна подмрежа, а случај 4 фаќа клиент што го применил исклучокот само при поврзување. Извршете го случај 4 со исклучен VPN и со телефон префрлен на мобилна мрежа, потоа поврзете се повторно и потврдете дека исклучокот се враќа без рестарт. Референцата за API на локалната рута го наведува барањето за заобиколување што го прави чекорот 2 задолжителен.
Запишете го исклучокот и прегледајте го
Одржуваниот запис треба да ги именува услугата, околината што го оправдала, сопственикот и датумот. Локално опишува однос на рутирање, не ниво на доверба, а следната мрежа кон која ќе се приклучи телефонот не е мрежата во која исклучокот е одобрен.
Прегледајте го записот по ажурирање на ОС, ажурирање на клиентот или преселба. Извршете го случај 3 повторно при секое обновување на исклучокот, зашто профил што еднаш го ограничил заобиколувањето на една услуга може да се прошири со една стандардна промена.