Hanya Sertakan atau Hanya Kecualikan Tunneling Berpisah: Mana Satu Lalai?
Pilih lalai sebelum membina senarai: tunelkan hanya yang anda namakan, atau tunelkan semuanya dan potong pengecualian. Kemudian uji aplikasi yang tiada siapa senaraikan.
Buka bahagian penghalaan klien VPN anda dan anda melihat dua kawalan berbeza bentuk yang sering memakai label yang sama. Satu meminta anda menyenaraikan destinasi yang patut masuk ke dalam terowong, dan yang lain terus menggunakan rangkaian tempatan. Satu lagi menganggap semuanya melalui terowong dan bertanya apa yang perlu dipotong semula. Kedua-duanya memberi terowong yang berfungsi pada ujian pertama dan kedua-duanya diselenggara dengan menambah baris pada senarai, sebab itulah perbezaannya kekal tidak kelihatan sehingga seseorang memasang sesuatu yang baharu.
Ini pilihan lalai, bukan ciri. Tetapkan sebelum senarai mempunyai dua puluh entri.
Baca lalai daripada klien, bukan risalah
WireGuard menjadikan keputusan ini luar biasa jelas, kerana AllowedIPs ialah senarai sertakan dan tiada yang lain. Rakan dengan 0.0.0.0/0, ::/0 menunelkan segala-galanya, manakala rakan dengan 10.20.0.0/16 hanya menunelkan rangkaian itu. Tiada sintaks pengecualian, jadi jika anda mahu satu subran kekal di luar, anda sama ada menyenaraikan setiap awalan lain atau menambah penghalaan dasar di luar antara muka.
OpenVPN sampai ke tempat yang sama dari arah bertentangan: redirect-gateway def1 memasang terowong penuh, manakala arahan route tertentu menambah atau menulis ganti awalan tertentu. Klien komersial biasanya menyembunyikan kedua-duanya di sebalik kotak semak dan jadual destinasi, jadi baca yang mana sebenarnya disunting oleh jadual itu sebelum anda percaya pada labelnya.
Soalan yang perlu ditanya bukanlah apa nama kotak semak itu. Soalannya ialah apa yang berlaku kepada paket yang destinasinya tiada dalam mana-mana senarai. Jawab secara bertulis dan selebihnya konfigurasi mengikut daripadanya. Langkau soalan itu dan kegagalan pertama yang tidak dijelaskan akan ditentukan oleh orang yang paling hampir dengan klien pada hari itu.
Ikut aplikasi yang tiada siapa senaraikan
Dalam reka bentuk sertakan sahaja, aplikasi itu keluar terus melalui rangkaian tempatan dan DNS tempatan. Dalam reka bentuk kecualikan sahaja, ia melalui terowong setakat yang dibenarkan pelayan, dan di sinilah selalunya terletak perbezaan antara alat SaaS baharu berfungsi pada hari pertama atau tiket yang menyatakan VPN merosakkannya.
Tiada satu pun lalai lebih selamat dengan sendirinya. Sertakan sahaja menyempitkan apa yang dibawa terowong dan menjadikan rangkaian tempatan laluan paling kurang rintangan, manakala kecualikan sahaja menganggap terowong sebagai laluan biasa dan menganggap pengecualian sebagai pengecualian, yang lebih dekat dengan apa yang kebanyakan dasar korporat sebenarnya maksudkan.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Perhatikan jenis objek yang disenaraikan oleh platform
VpnService.Builder Android mendedahkan senarai aplikasi dibenarkan dan senarai aplikasi dilarang sebagai dua model berasingan, dan peraturan setiap aplikasi memilih mengikut pakej dan bukan mengikut destinasi. Pelayar yang diletakkan dalam senarai sedemikian membawa setiap destinasi yang dibukanya, iaitu kerunanan berbeza daripada jadual laluan dan tidak dapat membaiki satu laman yang rosak di dalam aplikasi yang berfungsi.
Klien desktop biasanya mencampurkan kedua-dua jenis dalam satu antara muka, jadi semak sama ada baris yang anda tambah itu pakej, nama hos atau awalan. Kedua-duanya gagal dengan cara berbeza dan diselesaikan di tempat berbeza. Baris nama hos biasanya menjadi laluan dan nama, manakala baris pakej menjadi keputusan dasar di dalam klien. Catat yang mana anda tambah, kerana orang yang menyahpepijat kemudian akan menganggap yang satu lagi.
Uji keadaan kegagalan, bukan hanya laluan yang lancar
Aplikasi yang dikecualikan daripada terowong tidak mendapat akses terus yang bersih secara automatik. Jika klien juga melaksanakan peraturan sekatan tanpa VPN, trafik yang dikecualikan mungkin digugurkan sepenuhnya, dan itu kelihatan seperti aplikasi rosak dan bukan keputusan penghalaan. Uji kes itu dengan sengaja dan bukan menemuinya daripada laporan pengguna.
Kemudian semak DNS dan IPv6 sebagai perkara berasingan. Terowong yang hanya membawa IPv4 meninggalkan aplikasi berkemampuan v6 satu jalan memintas, dan split DNS menentukan sama ada nama dalaman diselesaikan untuk trafik yang langsung tidak melalui terowong. Jalankan aplikasi tersenarai, aplikasi tidak tersenarai, satu carian nama dan satu sambungan semula, dan simpan hasilnya bersama konfigurasi.
Tulis lalai di tempat orang seterusnya akan menemuinya
Rekod lalai yang dipilih, pengecualian dan pemiliknya di tempat yang sama dengan profil klien, kerana pentadbir seterusnya akan menambah entri tanpa membaca alasan ini. Catat tarikh dan sebab setiap pengecualian, supaya pengecualian lapuk untuk laman yang sudah dibaiki boleh dibuang dengan yakin. Senarai tanpa sebab tumbuh tanpa henti.
Apabila seseorang melaporkan satu destinasi yang rosak, ubah pengecualian dan bukan asas. Membalikkan lalai untuk membaiki satu laman memindahkan setiap aplikasi yang tidak tersenarai ke seberang terowong secara senyap.