Само вклучување или само исклучување сплит-тунел: кое е стандардно?
Изберете го стандардот пред да ја направите листата: тунелирајте само она што ќе го наведете или тунелирајте сè и изрежете исклучоци. Потоа тестирајте ја апликацијата што никој не ја навел.
Отворете го делот за рутирање во вашиот VPN клиент и ќе видите два различно обликувани контроли што често го носат истото име. Едната бара да ги наведете одредиштата што припаѓаат во тунелот, а сѐ друго продолжува да ја користи локалната мрежа. Другата претпоставува дека сѐ е во тунелот и прашува што треба да се изреже назад. Двете даваат тунел што работи на првиот тест и двете се одржуваат со додавање редови во листа, поради што разликата останува невидлива додека некој не инсталира нешто ново.
Ова е избор на стандард, не функција. Решете го пред листата да има дваесет записи.
Прочитајте го стандардот од клиентот, не од брошурата
Кај WireGuard оваа одлука е необично видлива, бидејќи AllowedIPs е листа за вклучување и ништо друго. Пар со 0.0.0.0/0, ::/0 тунелира сѐ, а пар со 10.20.0.0/16 тунелира само таа мрежа. Синтакса за исклучување нема, па ако сакате една подмрежа да остане надвор, или ги набројувате сите други префикси или додавате политичко рутирање надвор од интерфејсот.
OpenVPN доаѓа до истото место од спротивната страна: redirect-gateway def1 поставува целосен тунел, а посебните route директиви додаваат или препишуваат конкретни префикси. Комерцијалните клиенти обично ги кријат двете зад полиња за избор и табела со одредишта, па прочитајте која од нив табелата навистина ја уредува пред да ѝ поверувате на ознаката.
Прашањето не е како се вика полето за избор. Прашањето е што се случува со пакет чие одредиште не се појавува во ниту една листа. Одговорете го тоа писмено и остатокот од конфигурацијата произлегува од него. Прескокнете го прашањето и првиот необјаснет дефект ќе го реши тој што тој ден е најблиску до клиентот.
Следете апликација што никој не ја навел
Во шемата само со вклучување таа апликација оди директно, по локалната мрежа и со локалниот DNS. Во шемата само со исклучување оди низ тунелот, во онаа мера што ја дозволува серверот, и токму тука често е разликата меѓу тоа дали новата SaaS алатка ќе работи првиот ден или ќе се отвори билет дека VPN-от ја расипал.
Ниту еден стандард сам по себе не е побезбеден. Само вклучувањето го стеснува она што тунелот го носи и ја прави локалната мрежа пат со најмал отпор, а само исклучувањето го смета тунелот за нормален пат и ги третира исклучоците како исклучоци, што е поблиску до она што повеќето корпоративни политики навистина го мислат.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Забележете каков вид објекти наведува платформата
Android VpnService.Builder ја изложува листата на дозволени апликации и листата на забранети апликации како два одделни модели, а правилата по апликација избираат по пакет, а не по одредиште. Прелистувачот ставен во таква листа го носи со себе секое одредиште што ќе го отвори, што е друга гранулација од табелата со рути и не може да поправи еден расипан сајт во апликација што работи.
Десктоп клиентите обично ги мешаат двата вида во едно окно, па проверете дали редот што го додавате е пакет, име на домаќин или префикс. Тие паѓаат на различен начин и се решаваат на различно место. Редот со име на домаќин обично станува рута плус име, а редот со пакет станува одлука за политика внатре во клиентот. Запишете кој го додадовте, бидејќи оној што подоцна ќе го бара дефектот ќе претпостави другиот.
Тестирајте ја состојбата на дефект, не само добриот пат
Апликацијата изречена од тунелот не добива автоматски чист директен пристап. Ако клиентот истовремено применува и правило за блокирање без VPN, изречениот сообраќај може целосно да се исфрли, што изгледа како расипана апликација, а не како одлука за рутирање. Тестирајте го тој случај намерно, наместо да го откриете од пријава на корисник.
Потоа проверете ги DNS и IPv6 како одделни точки. Тунел што носи само IPv4 му остава на апликацијата способна за v6 пат околу него, а split DNS одлучува дали внатрешните имиња се решаваат за сообраќај што воопшто не е во тунелот. Пуштете наведена апликација, ненаведена апликација, едно пребарување на име и едно повторно поврзување, и чувајте ги резултатите заедно со конфигурацијата.
Запишете го стандардот таму каде што ќе го најде следниот човек
Запишете го избраниот стандард, исклучоците и нивниот сопственик на истото место каде што е профилот на клиентот, бидејќи следниот администратор ќе додаде запис без да го прочита ова образложение. Забележете го датумот и причината за секој исклучок, за да може застареното изрежување за сајт што во меѓувреме е поправен да се отстрани со сигурност. Листа без причини расте бескрајно.
Кога некој ќе пријави едно расипано одредиште, менувајте го исклучокот, не основата. Превраќањето на стандардот за да се поправи еден сајт тивко ги преместува сите ненаведени апликации на другата страна на тунелот.