It-tunnel maqsum għall-klijenti hotspot mhuwiex esklużjoni skont l-app
L-esklużjoni ta’ app mill-VPN tbiddel biss it-telefon. Il-laptop konness għandu bżonn regola tiegħu tat-trażmissjoni, imqabbla fuq is-sors, id-destinazzjoni u n-NAT.
Żewġ rekwiżiti li jdoqqu l-istess mhumiex l-istess: «eskludi din l-app mill-VPN» u «ibgħat dan id-destinazzjoni wieħed barra mill-VPN għall-laptop fuq il-hotspot tiegħi». L-ewwel wieħed ibiddel kif socket fuq it-telefon jagħżel netwerk. It-tieni wieħed irid ibiddel deċiżjoni tat-trażmissjoni għal pakkett li wasal minn apparat ieħor wara li t-telefon kien diġà aċċettah. Li tħallat it-tnejn huwa kif klijent hotspot jispiċċa b’eċċezzjoni li dejjem applikat biss għall-browser tat-telefon innifsu.
Żewġ sottosistemi jippossjedu ż-żewġ mistoqsijiet
Android iżomm in-netwerking tal-apps u t-tethering separatament. Is-sockets tal-apps jiġu assenjati lin-netwerk mill-munzell tal-konnettività, u app VPN tiddeċiedi liema mis-sockets tagħha jidħlu fit-tunnel. Il-pakketti trażmessi minn klijent konness jiġu mmaniġġjati mis-sottosistema tat-tethering, li titlob minn netd rotot, regoli tal-politika u traduzzjoni fuq l-interface downstream.
L-esklużjoni skont l-app tiġi evalwata meta app tiftaħ socket. Pakkett trażmess qatt ma jasal għal dak iċ-ċekk, għax ma oriġinax minn socket tal-app fuq dan l-apparat. Dan huwa r-raġuni sħiħa għaliex iż-żewġ settings ma jistgħux jieħdu post xulxin, u mhuwiex bug f’ebda wieħed minnhom.
X’inhu li verament ibiddel l-esklużjoni skont l-app
Il-builder ta’ VpnService jista’ jsemmi l-pakketti li jibqgħu barra t-tunnel b’addDisallowedApplication, jew jsemmi l-uniċi pakketti permessi ġewwa b’addAllowedApplication. Dawk l-apps imbagħad jiftħu sockets fuq in-netwerk ta’ taħt waqt li l-VPN ikompli jippossjedi r-rotta default għal kollox ieħor.
L-ambitu huwa preċiż: is-sockets tal-pakkett innifsu, fuq dan l-apparat, sakemm it-tunnel ikun fuq. Ma jgħid xejn dwar traffiku trażmess, xejn dwar apparat ieħor u xejn dwar pakketti li s-sistema tibgħat f’isem it-tethering.
Mhuwiex kontroll tad-destinazzjoni lanqas. Li teskludi browser jeskludi kull indirizz li jilħaq dak il-browser, inkluż dak li ridt iżżomm fit-tunnel. Meta r-rekwiżit isemmi destinazzjoni minflok app, il-kaxxa tal-għażla tal-app hija l-għodda żbaljata skont il-bini tagħha.
Kif jidher pakkett trażmess lit-telefon
Il-pakkett tal-klijent jasal fl-interface tal-hotspot b’indirizz tas-sors privat assenjat mit-telefon, ngħidu 192.168.43.20, u destinazzjoni pubblika. Biex jitrażmettih it-telefon jeħtieġ rotta lejn konnessjoni ’l fuq u regola tat-traduzzjoni sabiex it-tweġibiet isibu triqthom lura, għax l-indirizz privat tal-klijent m’għandux tifsira fuq in-netwerk ċellulari.
Android jesprimi dan b’regoli tal-politika li jagħżlu tabella tar-rotot, u netd jerġa’ jibni t-tabelli u r-regoli rilevanti meta n-netwerks u l-VPNs jinbidlu. Numru ta’ tabella, prijorità ta’ regola jew isem ta’ interface kopjati minn post tal-forum, jew mill-istess mudell f’verżjoni eqdem, ma jistabbilixxu ebda pussess dejjiem. Dan l-erġa’ bini huwa wkoll ir-raġuni għaliex regola miktuba bl-idejn tista’ taħdem siegħa u tieqaf wara l-konnessjoni mill-ġdid li jmiss.
Liema politika verament teħtieġ eċċezzjoni tal-hotspot
Ikteb id-deċiżjoni bħala sors, destinazzjoni u triq maħsuba qabel ma tmiss regola. L-iżgħar forma għal destinazzjoni waħda approvata tidher hekk:
| Source | Destination | Intended path |
|---|---|---|
| One authorized hotspot client | One approved public service address | Ordinary cellular uplink |
| The same client | All other covered destinations | Shared VPN |
| The phone's own apps | Their existing destinations | Unchanged phone policy |
Iż-żewġ direzzjonijiet iridu jkunu kompluti. Il-fergħa diretta teħtieġ rotta użabbli permezz tal-konnessjoni ċellulari ’l fuq li bħalissa hija attwali; il-fergħa VPN teħtieġ ir-rotta tat-tunnel flimkien mal-permess li tittrażmetti. Kull traduzzjoni tas-sors trid taqbel mal-ħruġ li għażilt, għax in-NAT applikat fuq interface tat-tunnel juri l-indirizz tat-tunnel u mhux dak ċellulari, u mbagħad it-triq lura ma taqbilx mat-triq ’il barra.
It-tweġibiet iridu jaslu għall-istess klijent downstream permezz ta’ stat traċċat jew rotta espliċita, u kontatur tal-pakketti li joħorġu ma jipprovdi xejn minn dan. Żomm it-trasport ta’ barra tal-VPN innifsu barra mill-ambitu tal-eċċezzjoni wkoll, inkella l-pakketti ġarriera tat-tunnel jirtu politika miktuba għal talba web ta’ klijent.
Indirizz wieħed maqbud mhuwiex destinazzjoni
Indirizz IPv4 wieħed maqruq minn browser huwa snapshot. Is-servizzi kbar iwieġbu minn anycast jew minn sett li jdur ta’ indirizzi tat-tarf, ħafna huma doppja, u fluss tal-login jista’ jmiss hosts tal-awtentikazzjoni u tat-telemetrija li l-paġna qatt ma turi. Eċċezzjoni mibnija madwar l-indirizz li rajt bil-kumbinazzjoni tinqasam id-darba li jmiss li s-servizz jerġa’ jibbilanċja.
Uża l-indirizzi dokumentati tas-sid tas-servizz, jew firxa li jippubblika, u qis iż-żewġ familji tal-indirizzi. Jekk ir-rekwiżit ma jistax jiġi espress bħala sett stabbli, huwa probabbilment mistoqsija tal-politika għas-servizz u mhux trick tar-rotot fuq telefon.
Ivverifika min-naħa downstream
Tliet verifiki, f’dan l-ordni: is-servizz magħżul mil-laptop, destinazzjoni ordinarja li trid tibqa’ fil-VPN, u app tat-telefon li trid tibqa’ mhux affettwata. Imbagħad irrepeti wara konnessjoni mill-ġdid u wara bidla fil-konnessjoni ’l fuq, għax dakinhar jerġgħu jinbnew it-tabelli tal-politika.
Jekk l-implimentazzjoni tal-qsim tat-telefon ma tistax iżżomm dak il-kuntratt matul konnessjoni mill-ġdid, erħi l-politika selettiva għal router downstream appoġġjat minflok ma tiġbor regoli root fuq l-apparat. Router jista’ jesprimi tqabbil tas-sors u d-destinazzjoni b’sid stabbli, u d-dokumentazzjoni tal-modulu tat-tethering hija r-referenza t-tajba għal dak li t-telefon fil-fatt jagħmel.