Зөвхөн оруулах эсвэл зөвхөн хасах хуваасан туннель: аль нь өгөгдмөл вэ?
Жагсаалт хийхээс өмнө өгөгдмөлийг сонго: зөвхөн нэрлэснээ туннельд оруулах, эсвэл бүгдийг оруулаад үл хамаарах зүйлсийг хас. Дараа нь хэн ч жагсаалтад оруулаагүй аппаар туршиж үз.
VPN клиентийн чиглүүлэлтийн хэсгийг нээхэд ихэвчлэн ижил шошго зүүсэн, хэлбэр нь өөр хоёр удирдлага харагдана. Нэг нь туннельд орох очих цэгүүдийг жагсаахыг шаардаж, бусад нь орон нутгийн сүлжээг үргэлжлүүлэн хэрэглэнэ. Нөгөө нь бүгд туннельд байна гэж үзээд юуг буцааж хасахыг асууна. Хоёулаа эхний туршилтад ажилладаг туннель өгч, хоёулаа жагсаалтад мөр нэмэх замаар арчлагддаг тул хэн нэгэн шинэ зүйл суулгах хүртэл ялгаа нь харагдахгүй байдаг.
Энэ нь боломж биш, өгөгдмөл сонголт юм. Жагсаалтад хорь бичлэг болохоос өмнө шийдчих.
Өгөгдмөлийг товхимолоос биш, клиентээс унш
WireGuard-д энэ шийдвэр ер бусын тод харагддаг, учир нь AllowedIPs бол зөвхөн оруулах жагсаалт, өөр утгагүй. 0.0.0.0/0, ::/0 бүхий хос бүгдийг туннельд оруулдаг бол 10.20.0.0/16 бүхий хос зөвхөн тэр сүлжээг оруулна. Хасах синтакс байхгүй тул нэг дэд сүлжээг гадуур үлдээхийг хүсвэл бусад бүх префиксийг жагсаах эсвэл интерфейсийн гадна бодлогын чиглүүлэлт нэмэх хэрэгтэй.
OpenVPN ижил газарт эсрэг талаас хүрдэг: redirect-gateway def1 бүрэн туннель тавьж, тусдаа route зааварчилгаа тодорхой префиксүүдийг нэмэх эсвэл дарж бичдэг. Арилжааны клиентүүд ихэвчлэн хоёуланг нь чагт болон очих цэгийн хүснэгтийн цаана нуудаг тул шошгонд итгэхээс өмнө хүснэгт аль нэгийг нь үнэхээр засварлаж байгааг унш.
Асуух ёстой зүйл нь чагтыг юу гэж нэрлэх биш. Аль ч жагсаалтад байхгүй очих цэгтэй пакет юу болох нь. Үүнийг бичгээр хариулбал бусад тохиргоо түүнээс урган гарна. Энэ асуултыг алгасвал эхний тайлбарлагдашгүй гэмтлийг тэр өдөр клиентэд хамгийн ойр хүн шийднэ.
Хэн ч жагсаалтад оруулаагүй аппыг дагаж үз
Зөвхөн оруулах загварт тэр апп орон нутгийн сүлжээ, орон нутгийн DNS-ээр шууд гарна. Зөвхөн хасах загварт серверийн зөвшөөрсөн хэмжээнд туннелээр гарч, шинэ SaaS хэрэгсэл эхний өдрөөс ажиллах эсвэл VPN үүнийг эвдсэн гэсэн тасалбар нээгдэх хоорондын ялгаа ихэвчлэн энд л гардаг.
Аль ч өгөгдмөл өөрөө илүү аюулгүй биш. Зөвхөн оруулах нь туннелийн дамжуулах хүрээг нарийсгаж орон нутгийн сүлжээг хамгийн бага эсэргүүцлийн зам болгодог бол зөвхөн хасах нь туннелийг хэвийн зам гэж үзэж үл хамаарах зүйлсийг үл хамаарах зүйл гэж үздэг нь ихэнх корпорацийн бодлого үнэхээр эрмэлздэг зүйлд ойр юм.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Платформ ямар төрлийн объектуудыг жагсааж байгааг анхаар
Android-ийн VpnService.Builder зөвшөөрөгдсөн аппын жагсаалт ба хориглосон аппын жагсаалтыг хоёр тусдаа загвар болгон гаргадаг бөгөөд апп тус бүрийн дүрэм очих цэгээр биш, багцаар сонгодог. Ийм жагсаалтад хийсэн хөтөч өөрийн нээх бүх очих цэгийг дагуулж явдаг нь чиглүүлэлтийн хүснэгтээс өөр нарийвчлал бөгөөд ажиллаж буй аппын доторх нэг эвдэрсэн сайтыг засах боломжгүй.
Компьютерийн клиентүүд ихэвчлэн хоёр төрлийг нэг интерфейст хольдог тул нэмж буй мөр чинь багц уу, хост нэр үү, эсвэл префикс үү гэдгийг шалга. Тэд өөр өөрөөр бүтэлгүйтдэг, өөр газар шийдэгддэг. Хост нэрийн мөр ихэвчлэн чиглүүлэлт ба нэр болдог бол багцын мөр клиентийн доторх бодлогын шийдвэр болдог. Алийг нь нэмснээ бичиж үлдээ, учир нь дараа нь алдаа хайж буй хүн нөгөөг нь таамаглана.
Зөвхөн сайн замыг биш, гэмтлийн төлөвийг турш
Туннелээс хасагдсан апп автоматаар цэвэр шууд хандалт авдаггүй. Хэрэв клиент VPN-гүй блоклох дүрмийг бас хэрэгжүүлбэл хасагдсан урсгал бүрмөсөн хаягдаж болох бөгөөд энэ нь чиглүүлэлтийн шийдвэр биш, эвдэрсэн апп мэт харагдана. Тэр тохиолдлыг хэрэглэгчийн мэдээгээр мэдэхийн оронд санаатайгаар туршиж үз.
Дараа нь DNS ба IPv6-г тусдаа зүйл болгон шалга. Зөвхөн IPv4 дамжуулдаг туннель v6 чадвартай аппад тойрох зам үлдээдэг бөгөөд split DNS нь туннелээр огт гараагүй урсгалд дотоод нэрүүд шийдэгдэх эсэхийг тодорхойлно. Жагсаалтад байгаа апп, жагсаалтад байхгүй апп, нэр хайлт, нэг дахин холболтыг ажиллуулж, үр дүнг тохиргоотой хамт хадгал.
Өгөгдмөлийг дараагийн хүн олох газарт бич
Сонгосон өгөгдмөл, үл хамаарах зүйлс, тэдгээрийн эзнийг клиентийн профайл байгаа газарт бичиж үлдээ, учир нь дараагийн администратор энэ үндэслэлийг уншихгүйгээр бичлэг нэмнэ. Огноо болон үл хамаарах зүйл бүрийн шалтгааныг тэмдэглэвэл дараа нь зассан сайтын хуучирсан хасалтыг итгэлтэйгээр устгаж болно. Шалтгаангүй жагсаалт эцэсгүй өсдөг.
Хэн нэгэн нэг эвдэрсэн очих цэгийг мэдээлбэл, суурийг биш, үл хамаарах зүйлийг өөрчил. Нэг сайтыг засахын тулд өгөгдмөлийг эргүүлэх нь жагсаалтад байхгүй бүх аппыг туннелийн нөгөө тал руу чимээгүй зөөдөг.