Халуун цэгийн клиентүүдэд зориулсан туннелийн хуваалт нь аппаар хасах биш
Аппыг VPN-ээс хасах нь зөвхөн утсыг өөрчилнө. Холбогдсон зөөврийн компьютерт эх, очих газар, NAT-аар тааруулсан өөрийн дамжуулах дүрэм хэрэгтэй.
Ижил сонсогддог хоёр шаардлага ижил биш: «энэ аппыг VPN-ээс хас» ба «энэ нэг очих газрыг миний халуун цэг дээрх зөөврийн компьютерт зориулж VPN-ээс гадагш илгээ». Эхнийх нь утсан дээрх сокет сүлжээг хэрхэн сонгохыг өөрчилнө. Хоёр дахь нь утас аль хэдийн хүлээн авсны дараа өөр төхөөрөмжөөс ирсэн пакетийн дамжуулах шийдвэрийг өөрчлөх ёстой. Энэ хоёрыг хольсон үед халуун цэгийн клиентэд үргэлж зөвхөн утасны өөрийн хөтөчдөд хамаарах үл хамаарах зүйл үлддэг.
Хоёр асуултыг хоёр өөр дэд систем эзэмшинэ
Android аппын сүлжээ ба тетерингийг тус тусад нь хадгална. Аппуудын сокетыг холболтын стек сүлжээнд хуваарилж, VPN апп өөрийн сокетуудын аль нь туннельд орохыг шийднэ. Холбогдсон клиентээс дамжуулсан пакетийг тетерингийн дэд систем боловсруулж, доод интерфэйс дээр netd-ээс маршрут, бодлогын дүрэм, хөрвүүлэлт асууна.
Аппаар хасах нь апп сокет нээх үед үнэлэгдэнэ. Дамжуулсан пакет тэр шалгалтад хэзээ ч хүрэхгүй, учир нь энэ төхөөрөмж дээрх аппын сокетоос үүсээгүй. Хоёр тохиргоо бие биенээ орлож чадахгүйн бүх шалтгаан энэ бөгөөд энэ нь аль ч талд алдаа биш.
Аппаар хасах нь үнэндээ юу өөрчлөх вэ
VpnService-ийн бүтээгч addDisallowedApplication ашиглан туннелийн гадна үлдэх пакетуудыг нэрлэж болно, эсвэл addAllowedApplication ашиглан дотроос зөвшөөрөгдсөн цорын ганц пакетуудыг нэрлэж болно. Тэдгээр апп дараа нь суурь сүлжээнд сокет нээж, VPN бусад бүхний хувьд анхдагч маршрутыг эзэмсээр байна.
Хүрээ нь нарийн: пакетын өөрийн сокетууд, энэ төхөөрөмж дээр, туннель боссон байх хугацаанд. Энэ нь дамжуулсан урсгалын талаар юу ч хэлэхгүй, хоёр дахь төхөөрөмжийн талаар ч, систем тетерингийн нэрийн өмнөөс илгээдэг пакетуудын талаар ч юу ч хэлэхгүй.
Энэ нь мөн очих газрын хяналт биш. Хөтчийг хасах нь тэр хөтчийн хүрэх бүх хаягийг хасна, туннель дотор үлдээхийг хүссэн хаягийг ч оролцуулан. Шаардлага аппын оронд очих газрыг нэрлэх үед апп сонгогч нь бүтцээрээ аль хэдийн буруу хэрэгсэл юм.
Дамжуулсан пакет утасны хувьд хэрхэн харагдах вэ
Клиентийн пакет халуун цэгийн интерфэйс дээр утасны олгосон хувийн эх хаягтай, жишээ нь 192.168.43.20, нийтийн очих газартай ирнэ. Үүнийг дамжуулахын тулд утаснд дээд холбоос руу маршрут, хариултууд буцах замаа олохын тулд хөрвүүлэх дүрэм хэрэгтэй, учир нь клиентийн хувийн хаяг үүрэн сүлжээнд ямар ч утгагүй.
Android үүнийг маршрутын хүснэгт сонгодог бодлогын дүрмээр илэрхийлж, сүлжээ болон VPN өөрчлөгдөх үед netd холбогдох хүснэгт, дүрмийг дахин бүтээнэ. Форум нийтлэл эсвэл ижил загварын хуучин хувилбараас хуулсан хүснэгтийн дугаар, дүрмийн ач холбогдол эсвэл интерфэйсийн нэр байнгын эзэмшлийг тогтоохгүй. Энэ дахин бүтээлт нь гараар бичсэн дүрэм нэг цаг ажиллаад дараагийн дахин холболтын дараа зогсож болохын шалтгаан ч юм.
Халуун цэгийн үл хамаарах зүйлд үнэндээ ямар бодлого хэрэгтэй вэ
Дүрэмд хүрэхээс өмнө шийдвэрийг эх, очих газар, төлөвлөсөн зам хэлбэрээр бичээрэй. Нэг зөвшөөрөгдсөн очих газрын хамгийн бага хэлбэр ийм байна:
| Source | Destination | Intended path |
|---|---|---|
| One authorized hotspot client | One approved public service address | Ordinary cellular uplink |
| The same client | All other covered destinations | Shared VPN |
| The phone's own apps | Their existing destinations | Unchanged phone policy |
Хоёр чиглэл бүрэн байх ёстой. Шууд салбарт одоо мөрдөгдөж буй үүрэн дээд холбоосоор ашиглах боломжтой маршрут хэрэгтэй; VPN салбарт туннелийн маршрут болон дамжуулах зөвшөөрөл хэрэгтэй. Аливаа эхийн хөрвүүлэлт таны сонгосон гарцтай тохирох ёстой, учир нь туннелийн интерфэйс дээр хэрэглэсэн NAT туннелийн хаягийг харуулдаг, үүрэнгийн хаягийг биш, тэгэхэд буцах зам гарах замтай нийцэхгүй.
Хариултууд нь хянагдсан төлөв эсвэл тодорхой маршрутаар ижил доод клиентэд хүрэх ёстой бөгөөд гарч буй пакетын тоолуур үүнийг юу ч нотлохгүй. VPN-ийн өөрийн гадаад тээврийг ч үл хамаарах зүйлийн хүрээнээс гадуур байлга, эс бөгөөс туннелийн тээвэрлэгч пакетууд клиентийн вэб хүсэлтэд зориулж бичсэн бодлогыг өвлөнө.
Барьсан нэг хаяг очих газар биш
Хөтчөөс уншсан ганц IPv4 хаяг бол агшин зуурын зураг. Том үйлчилгээнүүд anycast эсвэл эргэлддэг ирмэгийн хаягийн багцаас хариулдаг, олонх нь хос стектэй, нэвтрэх урсгал хуудас хэзээ ч харуулдаггүй баталгаажуулалт болон телеметрийн хостод хүрч болно. Санамсаргүйгээр харсан хаягийн эргэн тойронд барьсан үл хамаарах зүйл үйлчилгээ ачааллыг дахин хуваарилах дараагийн удаад эвдэрнэ.
Үйлчилгээний эзэмшигчийн баримтжуулсан хаяг эсвэл түүний нийтэлдэг мужийг ашиглаж, хаягийн хоёр гэр бүлийг хоёуланг нь тооцоорой. Шаардлагыг тогтвортой багц хэлбэрээр илэрхийлж чадахгүй бол энэ нь утсан дээрх маршрутын заль мэх биш, үйлчилгээнд зориулсан бодлогын асуудал байх магадлалтай.
Доод талаас нь баталгаажуул
Гурван шалгалт, энэ дарааллаар: зөөврийн компьютерээс сонгосон үйлчилгээ, VPN дотор үлдэх ёстой энгийн очих газар, хөндөгдөх ёсгүй утасны апп. Дараа нь дахин холболтын дараа болон дээд холбоос өөрчлөгдсөний дараа давтаарай, учир нь бодлогын хүснэгтүүд яг тэр үед дахин бүтээгддэг.
Хэрэв утасны хуваалцах хэрэгжилт энэ гэрээг дахин холболтын туршид барьж чадахгүй бол сонгомол бодлогыг төхөөрөмж дээр root дүрэм хуримтлуулахын оронд дэмжигдсэн доод чиглүүлэгч рүү зөө. Чиглүүлэгч тогтвортой эзэмшигчтэй эх болон очих газрын таарлыг илэрхийлж чадна, мөн тетерингийн модулийн баримт бичиг нь утас үнэндээ юу хийдгийн зөв лавлагаа юм.