Pengecualian VPN LAN rumah pada Android: buku panduan untuk satu perkhidmatan

Anda mahu satu perkhidmatan rumah kekal boleh dicapai sementara VPN berkuat kuasa untuk semua yang lain. Tetapan yang menggiurkan ialah pengecualian laluan setempat yang meliputi setiap alamat peribadi, dan itu kawalan yang salah: pada rangkaian hotel atau kafe seterusnya ia boleh menjadikan apa sahaja yang menjawab sebagai laluan pintas. Buku panduan ini mengecilkan pengecualian kepada satu perkhidmatan dan membuktikannya di bawah peralihan yang memecahkannya.

Takrifkan pengecualian sebagai perkhidmatan, bukan subnet

Catat aplikasi, nama hos dan alamat destinasi, protokol dan port, rangkaian tempat ia dibenarkan, dan pemeriksaan identiti yang dilakukan oleh perkhidmatan itu sendiri. Pada NAS dengan pengesahan, sijil atau akaunlah yang membuktikan anda sampai ke mesin yang betul. Alamat dalam 192.168.0.0/16 tidak membuktikan apa-apa, kerana setiap penghala rumah mengagihkan awalan yang sama.

Tentukan juga apa maksud berdekatan. Perkhidmatan pada VLAN yang dihalakan bukan pada subnet yang disambung terus ke telefon, dan Wi-Fi tetamu boleh berkongsi awalan peribadi yang sama dengan rumah namun menjadi mesin yang sama sekali berbeza. Pengecualian harus menamakan perkhidmatan dan persekitaran, bukan hanya julat alamat.

Sahkan kawalan platform padan dengan keperluan

Pembina profil IKEv2 Android menyediakan setLocalRoutesExcluded(true), dan dokumentasinya memerlukan VPN yang boleh dilangkau: pengecualian hanya bermakna apabila klien membenarkan trafik melangkau terowong. Dokumentasi yang sama memberi amaran bahawa rangkaian asas boleh membekalkan laluan yang menjejaskan pengecualian, sebab itu tetapan mengikut rangkaian yang anda sertai, bukan rangkaian yang anda percayai.

Ia juga bukan janji bahawa setiap sekatan atau konfigurasi terurus akan membenarkan pengguna mengaktifkan pengecualian yang sama. Pengecualian laluan, bendera kebolehlangkauan dan dasar penyekatan peranti ialah kawalan berasingan, dan peranti terurus boleh melarang yang ketiga sambil membenarkan dua yang pertama. Semak profil yang dipasang dan dasar pengurusan sebelum mereka bentuk di sekeliling kotak semak.

Buku panduan: bina dan gunakan pengecualian

Langkah 1: cipta profil melalui laluan yang disokong untuk penggunaan, sama ada konfigurasi terurus atau pembina klien. Langkah 2: tandakan VPN sebagai boleh dilangkau, kerana pengecualian laluan setempat tidak berkesan tanpanya. Langkah 3: aktifkan pengecualian laluan setempat. Langkah 4: biarkan pengesahan perkhidmatan itu sendiri dan pengesahan sijil kekal aktif; pengecualian berkaitan penghalaan, bukan kepercayaan. Langkah 5: simpan dan sambung semula supaya profil digunakan.

Pengunduran ialah laluan yang sama secara terbalik: kosongkan pengecualian, kemudian kosongkan kebolehlangkauan, kemudian sambung semula. Jangan tampal laluan atau cangkuk tembok api terus pada peranti. Daemon rangkaian memiliki peraturan itu, dan peraturan manual boleh terlepas keluarga alamat lain, penyambungan semula atau peralihan rangkaian. Jika konfigurasi yang dipasang tidak dapat menyatakan dasar, kekalkan sekatan yang lebih ketat sehingga pemilik meluluskan reka bentuk lain.

Uji empat kes yang penting

Gunakan permintaan tidak berbahaya dan catat hasil yang dijangka sebelum menjalankan setiap kes. Matriks di bawah ialah ujian penerimaan, bukan cadangan: jika mana-mana kes yang dinafikan berjaya, pengecualian lebih luas daripada dasar.

Kes 3 ialah yang menangkap laluan pintas subnet peribadi yang luas, dan kes 4 menangkap klien yang hanya menggunakan pengecualian semasa menyambung. Jalankan kes 4 dengan VPN terputus dan telefon dipindahkan ke rangkaian mudah alih, kemudian sambung semula dan sahkan pengecualian kembali tanpa but semula. Rujukan API laluan setempat menyatakan syarat kebolehlangkauan yang menjadikan langkah 2 wajib.

Rekod pengecualian dan semak semula

Rekod yang diselenggara harus menamakan perkhidmatan, persekitaran yang mewajarkannya, pemilik dan tarikh. Setempat menggambarkan hubungan penghalaan, bukan tahap kepercayaan, dan rangkaian seterusnya yang disertai telefon bukan rangkaian tempat pengecualian diluluskan.

Semak rekod selepas kemas kini OS, kemas kini klien atau perpindahan. Jalankan semula kes 3 setiap kali pengecualian diperbaharui, kerana profil yang pernah mengecilkan laluan pintas kepada satu perkhidmatan boleh diperluas dengan satu perubahan lalai.