VPN-uitzondering voor het thuis-LAN op Android: een draaiboek voor één dienst

Je wilt één thuisdienst bereikbaar houden terwijl de VPN voor al het andere van kracht blijft. De verleidelijke instelling is een uitzondering op de lokale route die elk privéadres dekt, en dat is de verkeerde controle: op het volgende hotel- of cafenetwerk kan die alles wat antwoordt in een omweg veranderen. Dit draaiboek beperkt de uitzondering tot één dienst en bewijst die onder de overgangen die hem breken.

Definieer de uitzondering als dienst, niet als subnet

Noteer de app, de hostnaam en het adres van de bestemming, het protocol en de poort, het netwerk waar het is toegestaan, en de identiteitscontrole die de dienst zelf uitvoert. Bij een NAS met authenticatie is het certificaat of het account het bewijs dat je de juiste machine hebt bereikt. Een adres in 192.168.0.0/16 bewijst niets, omdat elke thuisrouter dezelfde prefixen uitdeelt.

Bepaal ook wat dichtbij betekent. Een dienst op een gerouteerde VLAN staat niet op het subnet dat direct met de telefoon is verbonden, en een gast-Wi-Fi kan dezelfde privéprefix als thuis delen en toch een heel andere machine zijn. De uitzondering moet de dienst en de omgeving benoemen, niet alleen het adresbereik.

Controleer of de platformcontrole bij de eis past

De IKEv2-profielbouwer van Android biedt setLocalRoutesExcluded(true), en de documentatie ervan vereist een omzeilbare VPN: de uitzondering is alleen zinvol als de client verkeer langs de tunnel laat gaan. Dezelfde documentatie waarschuwt dat het onderliggende netwerk routes kan leveren die de uitzondering beïnvloeden, daarom volgt de instelling het netwerk waar je bij aansluit, niet het netwerk dat je vertrouwt.

Het is ook geen belofte dat elke vergrendeling of beheerde configuratie de gebruiker dezelfde uitzondering laat inschakelen. Route-uitzondering, de omzeilbaarheidsvlag en het blokkeerbeleid van het apparaat zijn aparte controles, en een beheerd apparaat kan de derde verbieden terwijl het de eerste twee toestaat. Controleer het geïnstalleerde profiel en het beheerbeleid voordat je rond een selectievakje ontwerpt.

Draaiboek: bouw en pas de uitzondering toe

Stap 1: maak het profiel via de ondersteunde weg voor de uitrol, ofwel de beheerde configuratie ofwel de clientbouwer. Stap 2: markeer de VPN als omzeilbaar, want de uitzondering op de lokale route werkt daar niet zonder. Stap 3: schakel de uitzondering op de lokale route in. Stap 4: laat de eigen authenticatie van de dienst en de certificaatvalidatie aan staan; de uitzondering gaat over routering, niet over vertrouwen. Stap 5: sla op en verbind opnieuw zodat het profiel wordt toegepast.

Terugdraaien is dezelfde weg achterstevoren: wis de uitzondering, wis dan de omzeilbaarheid en verbind daarna opnieuw. Patch geen route of firewallhaak direct op het apparaat. De netwerkdaemon bezit die regels, en een handmatige regel kan een andere adresfamilie, een herverbinding of een netwerkovergang missen. Als de geïnstalleerde configuratie het beleid niet kan uitdrukken, houd dan de strengere blokkade tot de eigenaar een ander ontwerp goedkeurt.

Test de vier gevallen die ertoe doen

Gebruik onschuldige verzoeken en schrijf het verwachte resultaat op voordat je elk geval uitvoert. De matrix hieronder is de acceptatietest, geen suggestie: als een geweigerd geval slaagt, is de uitzondering breder dan het beleid.

Geval 3 is het geval dat een brede omweg over een privésubnet vangt, en geval 4 vangt een client die de uitzondering alleen bij het verbinden toepaste. Voer geval 4 uit met de VPN losgekoppeld en de telefoon naar het mobiele netwerk verplaatst, verbind daarna opnieuw en bevestig dat de uitzondering terugkomt zonder herstart. De API-referentie voor de lokale route noemt de omzeilbaarheidseis die stap 2 verplicht maakt.

Leg de uitzondering vast en herzie die

Het bijgehouden register moet de dienst, de omgeving die hem rechtvaardigde, de eigenaar en de datum noemen. Lokaal beschrijft een routeringsrelatie, geen vertrouwensniveau, en het volgende netwerk waar de telefoon bij aansluit is niet het netwerk waar de uitzondering is goedgekeurd.

Herzie het register na een OS-update, een clientupdate of een verhuizing. Voer geval 3 opnieuw uit telkens wanneer de uitzondering wordt vernieuwd, want een profiel dat de omweg ooit tot één dienst beperkte, kan met één standaardwijziging worden verbreed.