VPN-unntak for hjemme-LAN på Android: en kjørebok for én tjeneste

Du vil ha én hjemmetjeneste tilgjengelig mens VPN fortsatt gjelder for alt annet. Den fristende innstillingen er et unntak for lokalruten som dekker hver privat adresse, og det er feil kontroll: på det neste hotell- eller kafenettet kan den gjøre hva som helst som svarer om til en omvei. Denne kjøreboken avgrenser unntaket til én tjeneste og beviser det under overgangene som bryter det.

Definer unntaket som en tjeneste, ikke et subnet

Noter appen, vertsnavnet og adressen for målet, protokollen og porten, nettet der det er tillatt, og identitetskontrollen tjenesten selv utfører. For et NAS med autentisering er det sertifikatet eller kontoen som beviser at du nådde riktig maskin. En adresse i 192.168.0.0/16 beviser ingenting, fordi enhver hjemmeruter deler ut de samme prefiksene.

Avgjør også hva nær betyr. En tjeneste på et rutet VLAN er ikke på subnettet telefonen er direkte koblet til, og et gjeste-Wi-Fi kan dele samme private prefiks som hjemmet og likevel være en helt annen maskin. Unntaket skal navngi tjenesten og miljøet, ikke bare adresseområdet.

Bekreft at plattformkontrollen passer til kravet

Androids IKEv2-profilbygger eksponerer setLocalRoutesExcluded(true), og dokumentasjonen krever en VPN som kan omgås: unntaket er bare meningsfullt når klienten lar trafikk omgå tunnelen. Samme dokumentasjon advarer om at det underliggende nettet kan levere ruter som påvirker unntaket, og derfor følger innstillingen nettet du kobler til, ikke nettet du stoler på.

Det er heller ikke et løfte om at enhver låsing eller administrert konfigurasjon lar brukeren slå på det samme unntaket. Ruteunntak, omgåelsesflagget og enhetens blokkeringspolicy er separate kontroller, og en administrert enhet kan forby den tredje mens den tillater de to første. Kontroller den installerte profilen og administrasjonspolicyen før du designer rundt en avkrysningsboks.

Kjørebok: bygg og bruk unntaket

Trinn 1: opprett profilen via den støttede veien for utrullingen, enten den administrerte konfigurasjonen eller klientbyggeren. Trinn 2: merk VPN-en som omgåelig, fordi unntaket for lokalruten ikke virker uten. Trinn 3: slå på unntaket for lokalruten. Trinn 4: hold tjenestens egen autentisering og sertifikatvalidering på; unntaket handler om ruting, ikke om tillit. Trinn 5: lagre og koble til på nytt slik at profilen brukes.

Tilbakerulling er samme vei baklengs: fjern unntaket, fjern deretter omgåeligheten, og koble så til på nytt. Ikke lapp en rute eller en brannmur-krok direkte på enheten. Nettverksdémonen eier disse reglene, og en manuell regel kan overse en annen adressefamilie, en ny tilkobling eller en nettverksovergang. Hvis den installerte konfigurasjonen ikke kan uttrykke policyen, behold den strengere blokkeringen til eieren godkjenner et annet design.

Test de fire tilfellene som betyr noe

Bruk harmløse forespørsler og skriv ned forventet resultat før du kjører hvert tilfelle. Matrisen nedenfor er aksepttesten, ikke et forslag: hvis et avvist tilfelle lykkes, er unntaket bredere enn policyen.

Tilfelle 3 er det som fanger en bred omvei over et privat subnet, og tilfelle 4 fanger en klient som bare brukte unntaket ved tilkobling. Kjør tilfelle 4 med VPN frakoblet og telefonen flyttet til mobilnett, og koble deretter til på nytt og bekreft at unntaket kommer tilbake uten omstart. API-referansen for lokalruten angir omgåelighetskravet som gjør trinn 2 obligatorisk.

Registrer unntaket og gjennomgå det

Den vedlikeholdte registreringen skal navngi tjenesten, miljøet som begrunnet den, eieren og datoen. Lokal beskriver et rutingforhold, ikke et tillitsnivå, og det neste nettet telefonen kobler seg til, er ikke nettet der unntaket ble godkjent.

Gjennomgå registreringen etter en OS-oppdatering, en klientoppdatering eller en flytting. Kjør tilfelle 3 på nytt hver gang unntaket fornyes, fordi en profil som en gang begrenset omveien til én tjeneste, kan utvides med en enkelt standardendring.