Eċċezzjoni tal-VPN għal-LAN tad-dar fuq Android: manwal għal servizz wieħed

Tixtieq li servizz tad-dar ikun aċċessibbli waqt li l-VPN jibqa fis-seħħ għal kull ħaġa oħra. Is-setting li jiġbdek huwa eċċezzjoni għar-rotta lokali li tkopri kull indirizz privat, u dak huwa l-kontroll ħażin: fuq in-netwerk tal-lukanda jew tal-kafetterija li jmiss tista tbiddel kull ma jwieġeb fi triq ta evażjoni. Dan il-manwal jillimita l-eċċezzjoni għal servizz wieħed u jipprovaha taħt il-bidliet li jkissruha.

Iddefinixxi l-eċċezzjoni bħala servizz, mhux bħala subnetwork

Innota l-app, l-isem tal-host u l-indirizz tad-destinazzjoni, il-protokoll u l-port, in-netwerk fejn huwa permess, u l-verifika tal-identità li jagħmel is-servizz innifsu. Fuq NAS b awtentikazzjoni, iċ-ċertifikat jew il-kont huwa dak li jipprova li wasalt għall-magna t-tajba. Indirizz f 192.168.0.0/16 ma jipprova xejn, għax kull router tad-dar iqassam l-istess prefissi.

Iddeċiedi wkoll xi jfisser qrib. Servizz fuq VLAN bir-rotta mhuwiex fuq is-subnetwork konness direttament mat-telefon, u Wi-Fi għall-mistednin jista jaqsam l-istess prefiss privat mad-dar u fl-istess ħin ikun magna kompletament oħra. L-eċċezzjoni għandha ssemmi s-servizz u l-ambjent, mhux biss il-firxa tal-indirizzi.

Ivverifika li l-kontroll tal-pjattaforma jaqbel mar-rekwiżit

Il-builder tal-profil IKEv2 tal-Android jesponi setLocalRoutesExcluded(true), u d-dokumentazzjoni tiegħu titlob VPN li tista tiġi evitata: l-eċċezzjoni għandha tifsira biss meta l-klijent iħalli t-traffiku jevita t-tunnel. L-istess dokumentazzjoni twissi li n-netwerk ta taħt jista jipprovdi rotot li jaffettwaw l-eċċezzjoni, u għalhekk is-setting isegwi n-netwerk li tingħaqad miegħu, mhux dak li tafdah.

Mhuwiex ukoll wegħda li kull lockjawd jew konfigurazzjoni ġestita se tħalli lill-utent jattiva l-istess eċċezzjoni. L-eċċezzjoni għar-rotta, il-bandiera tal-kapaċità li tiġi evitata u l-politika tal-imblukkar tal-apparat huma kontrolli separati, u apparat ġestit jista jipprojbixxi t-tielet waqt li jippermetti l-ewwel tnejn. Iċċekkja l-profil installat u l-politika tal-ġestjoni qabel ma tiddisinja madwar kaxxa tal-marka.

Manwal: ibni u applika l-eċċezzjoni

Pass 1: oħloq il-profil permezz tal-passa appoġġjata għall-użu, jew il-konfigurazzjoni ġestita jew il-builder tal-klijent. Pass 2: immarka l-VPN bħala wieħed li jista jiġi evitat, għax l-eċċezzjoni għar-rotta lokali ma taħdimx mingħajrha. Pass 3: attiva l-eċċezzjoni għar-rotta lokali. Pass 4: ħalli l-awtentikazzjoni tas-servizz innifsu u l-validazzjoni taċ-ċertifikat attivi; l-eċċezzjoni hija dwar ir-routing, mhux dwar il-fiduċja. Pass 5: issalva u erġa qabbad sabiex il-profil jiġi applikat.

Ir-rollback hija l-istess triq lura: neħħi l-eċċezzjoni, imbagħad neħħi l-kapaċità li tiġi evitata, imbagħad erġa qabbad. Ttejbux rotta jew hook tal-firewall direttament fuq l-apparat. Id-daemon tan-netwerk huwa l-proprjetarju ta dawk ir-regoli, u regola manwali tista taqbeż familja oħra ta indirizzi, qbil mill-ġdid jew transizzjoni tan-netwerk. Jekk il-konfigurazzjoni installata ma tistax tesprimi l-politika, żomm l-imblukkar aktar strett sakemm il-proprjetarju japprova disinn ieħor.

Ittestja l-erba każijiet li jgħoddu

Uża talbiet bla ħsara u ikteb ir-riżultat mistenni qabel ma tħaddem kull każ. Il-matriċi hawn taħt hija t-test tal-aċċettazzjoni, mhux suġġeriment: jekk każ miċħud jirnexxi, l-eċċezzjoni hija usa mill-politika.

Il-każ 3 huwa dak li jaqbad evażjoni wiesgħa tas-subnetwork privat, u l-każ 4 jaqbad klijent li applika l-eċċezzjoni biss waqt il-qbil. Ħaddem il-każ 4 bil-VPN skonnettjat u bit-telefon imċaqlaq għan-netwerk mobbli, imbagħad erġa qabbad u ivverifika li l-eċċezzjoni terġa lura mingħajr restart. Ir-referenza tal-API tar-rotta lokali tispeċifika r-rekwiżit tal-kapaċità li tiġi evitata li jagħmel il-pass 2 obbligatorju.

Irreġistra l-eċċezzjoni u rrevediha

Ir-rekord miżmum għandu jsemmi s-servizz, l-ambjent li ġġustifikah, il-proprjetarju u d-data. Lokali jiddeskrivi relazzjoni ta routing, mhux livell ta fiduċja, u n-netwerk li jmiss li jingħaqad miegħu t-telefon mhuwiex in-netwerk fejn ġiet approvata l-eċċezzjoni.

Irrevedi r-rekord wara aġġornament tas-sistema, aġġornament tal-klijent jew spostament. Erġa ħaddem il-każ 3 kull darba li l-eċċezzjoni tiġi mġedda, għax profil li darba llimita l-evażjoni għal servizz wieħed jista jiġi mwessa b bidla waħda awtomatika.