Android дээр гэрийн LAN-д зориулсан VPN үл хамаарах байдал: нэг үйлчилгээний гарын авлага
Зөвхөн таны зөвшөөрсөн гэрийн үйлчилгээг хасаж, бүх хувийн маршрутыг бус. Бодлогыг бичээд, тойрч болох VPN ашиглаад, дараа нь зочны сүлжээний доголдлыг шалгана.
Та нэг гэрийн үйлчилгээнд хүрэх боломжтой байхыг хүсч байгаа бөгөөд VPN бусад бүх зүйлд хүчинтэй хэвээр байна. Анхаарал татахуйц тохиргоо бол бүх хувийн хаягийг хамарсан орон нутгийн маршрутын үл хамаарах байдал бөгөөд энэ нь буруу хяналт юм: дараагийн зочид буудал эсвэл кафены сүлжээнд хариу үйлдэл үзүүлж буй бүхнийг тойрч гарах зам болгож болно. Энэхүү гарын авлага үл хамаарах байдлыг нэг үйлчилгээгээр хязгаарлаж, түүнийг эвддэг шилжилтийн үед нотолж байна.
Үл хамаарах байдлыг дэд сүлжээ биш, үйлчилгээ гэж тодорхойл
Апп, хүрэх газрын хостын нэр ба хаяг, протокол ба порт, зөвшөөрөгдсөн сүлжээ, мөн үйлчилгээ өөрөө хийдэг таних шалгалтыг тэмдэглэ. Баталгаажуулалттай NAS-ийн хувьд зөв машин руу хүрснийг гэрчилгээ эсвэл бүртгэл нотолно. 192.168.0.0/16 дахь хаяг юу ч нотлохгүй, учир нь гэрийн чиглүүлэгч бүр ижил угтварыг тараадаг.
Мөн ойр гэдэг нь юу гэсэн үг болохыг шийд. Чиглүүлсэн VLAN дахь үйлчилгээ нь утастай шууд холбогдсон дэд сүлжээнд байхгүй, зочны Wi-Fi нь гэртэй ижил хувийн угтварыг хуваалцсан ч огт өөр машин байж болно. Үл хамаарах байдал нь зөвхөн хаягийн хүрээ биш, үйлчилгээ ба орчныг нэрлэх ёстой.
Платформын хяналт шаардлагад нийцэж байгааг батал
Android-ийн IKEv2 профайл бүтээгч setLocalRoutesExcluded(true) санал болгодог бөгөөд түүний баримт бичиг тойрч болох VPN шаарддаг: үл хамаарах байдал нь клиент трафикийг туннелээс гадагш явуулахыг зөвшөөрсөн үед л утга учиртай. Мөн тэр баримт бичиг үндсэн сүлжээ үл хамаарах байдалд нөлөөлөх маршрут өгч болзошгүйг анхааруулдаг тул тохиргоо нь таны итгэдэг сүлжээг биш, таны нэгдэж буй сүлжээг дагадаг.
Энэ нь мөн аливаа түгжээ эсвэл удирдлагатай тохиргоо хэрэглэгчид ижил үл хамаарах байдлыг идэвхжүүлэх боломж олгоно гэсэн амлалт биш. Маршрутын үл хамаарах байдал, тойрч гарах чадварын туг, төхөөрөмжийн блоклох бодлого нь тусдаа хяналтууд бөгөөд удирдлагатай төхөөрөмж гурав дахьг хориглоод эхний хоёрыг зөвшөөрч болно. Сонголтын хайрцгийг тойруулан зохион бүтээхээс өмнө суулгасан профайл ба удирдлагын бодлогыг шалга.
Гарын авлага: үл хамаарах байдлыг бүтээж хэрэглэ
1-р алхам: байршуулалтад дэмжигдсэн замаар профайл үүсгэ, удирдлагатай тохиргоо эсвэл клиентийн бүтээгч. 2-р алхам: VPN-ийг тойрч болох гэж тэмдэглэ, учир нь орон нутгийн маршрутын үл хамаарах байдал үүнгүйгээр ажиллахгүй. 3-р алхам: орон нутгийн маршрутын үл хамаарах байдлыг идэвхжүүл. 4-р алхам: үйлчилгээний өөрийн баталгаажуулалт ба гэрчилгээний шалгалтыг идэвхтэй үлдээ; үл хамаарах байдал нь чиглүүлэлтийн тухай, итгэлийн тухай биш. 5-р алхам: хадгалаад дахин холбогд, ингэснээр профайл хэрэгжинэ.
Буцаах нь мөн тэр зам эсрэг дарааллаар: үл хамаарах байдлыг цэвэрлэ, дараа нь тойрч гарах чадварыг цэвэрлэ, дараа нь дахин холбогд. Төхөөрөмж дээр шууд маршрут эсвэл галт ханын дэгээ засаж болохгүй. Сүлжээний демон эдгээр дүрмийг эзэмшдэг бөгөөд гарын дүрэм өөр хаягийн гэр бүл, дахин холболт эсвэл сүлжээний шилжилтийг алдаж болно. Хэрэв суулгасан тохиргоо бодлогыг илэрхийлж чадахгүй бол эзэн нь өөр загварыг зөвшөөрөх хүртэл илүү хатуу блокыг баримтал.
Чухал дөрвөн тохиолдлыг шалга
Хор хөнөөлгүй хүсэлт ашиглаж, тохиолдол бүрийг ажиллуулахын өмнө хүлээгдэж буй үр дүнг бич. Доорх матриц нь хүлээн авах тест, санал биш: хориглосон аль нэг тохиолдол амжилттай болвол үл хамаарах байдал бодлогоос өргөн байна.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
3-р тохиолдол нь хувийн дэд сүлжээг өргөн тойрч гарахыг барьж, 4-р тохиолдол нь үл хамаарах байдлыг зөвхөн холбогдох үед хэрэглэсэн клиентийг барьдаг. 4-р тохиолдлыг VPN салгасан ба утсыг мобайл сүлжээнд шилжүүлсэн байдалд ажиллуул, дараа нь дахин холбогдоод үл хамаарах байдал дахин ачаалахгүйгээр буцаж ирснийг батал. Орон нутгийн маршрутын API лавлагаа 2-р алхамыг заавал болгодог тойрч гарах шаардлагыг заана.
Үл хамаарах байдлыг бүртгэж, хяна
Хөтлөх бүртгэл нь үйлчилгээ, түүнийг зөвтгөсөн орчин, эзэн, огноог нэрлэх ёстой. Орон нутгийн гэдэг нь чиглүүлэлтийн харилцааг тодорхойлдог, итгэлийн түвшинг биш, харин утас дараа нь нэгдэх сүлжээ нь үл хамаарах байдал зөвшөөрөгдсөн сүлжээ биш юм.
Бүртгэлийг OS шинэчлэл, клиент шинэчлэл эсвэл нүүдлийн дараа хяна. Үл хамаарах байдал шинэчлэгдэх бүрт 3-р тохиолдлыг дахин ажиллуул, учир нь тойрч гарахыг нэг удаа нэг үйлчилгээгээр хязгаарласан профайлыг нэг анхдагч өөрчлөлтөөр өргөтгөж болно.