Alleen insluiten of alleen uitsluiten: welke standaard?
Kies de standaard voordat u de lijst opbouwt: alleen tunnelen wat u benoemt, of alles tunnelen en uitzonderingen eruit snijden. Test daarna de app die niemand had ingevoerd.
Open het routinggedeelte van uw VPN-client en u ziet twee verschillend gevormde bedieningselementen die vaak hetzelfde label dragen. De ene vraagt u de bestemmingen op te lijsten die in de tunnel horen, en al het andere blijft het lokale netwerk gebruiken. De andere gaat ervan uit dat alles getunneld wordt en vraagt wat er weer uit moet worden gehaald. Beide leveren bij de eerste test een werkende tunnel, en beide worden onderhouden door regels aan een lijst toe te voegen, waardoor het verschil onzichtbaar blijft tot iemand iets nieuws installeert.
De keuze is een standaard, geen functie. Leg hem vast voordat de lijst twintig regels telt.
Lees de standaard af van de client, niet van de folder
WireGuard maakt de beslissing ongewoon zichtbaar, omdat AllowedIPs een insluitsellijst is en niets anders. Een peer met 0.0.0.0/0, ::/0 tunnelt alles; een peer met 10.20.0.0/16 tunnelt alleen dat. Er is geen uitsluitingssyntaxis, dus wilt u één subnet overslaan, dan moet u alle andere prefixen opsommen of buiten de interface policy-routing toevoegen.
OpenVPN bereikt dezelfde plek vanuit de andere richting, met redirect-gateway def1 dat een volledige tunnel opzet en expliciete route-richtlijnen die specifieke prefixen toevoegen of overschrijven. Commerciële clients verbergen beide meestal achter een selectievakje en een bestemmingstabel, dus lees welke van de twee de tabel werkelijk bewerkt voordat u het label vertrouwt.
De vraag is niet hoe het selectievakje heet. De vraag is wat er gebeurt met een pakket waarvan de bestemming in geen van beide lijsten staat. Beantwoord dat op papier, en de rest van de configuratie volgt daaruit. Wie de vraag overslaat, laat de eerste onverklaarde storing beslissen door wie die dag toevallig het dichtst bij de client zit.
Volg een applicatie die niemand heeft opgenomen
In een ontwerp met alleen insluiten gaat die applicatie direct, over het lokale netwerk, met de lokale DNS. In een ontwerp met alleen uitsluiten gaat hij door de tunnel, voor zover de server het toestaat, en dat is vaak het verschil tussen een nieuwe SaaS-tool die op de eerste dag werkt en een melding dat de VPN het stuk heeft gemaakt.
Geen van beide standaards is op zichzelf veiliger. Insluiten beperkt wat de tunnel draagt en maakt het lokale netwerk de weg van de minste weerstand; uitsluiten neemt de tunnel als normale weg en behandelt uitzonderingen als uitzonderingen, wat dichter komt bij wat de meeste bedrijfsregels feitelijk bedoelen.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Let op welk soort object het platform opsomt
De VpnService.Builder van Android biedt een lijst met toegestane en een lijst met verboden applicaties als twee aparte modellen, en app-regels kiezen op pakket in plaats van op bestemming. Een browser in zo'n lijst draagt elke bestemming die hij opent met zich mee, wat een andere granulariteit is dan een routetabel en één kapotte site binnen een werkende app niet kan repareren.
Desktop-clients mengen beide soorten meestal in één venster, dus controleer of de regel die u toevoegt een pakket, een hostnaam of een prefix is. Ze falen op verschillende manieren en ze worden op verschillende plaatsen opgelost. Een hostnaamregel wordt meestal een route plus een naam, terwijl een pakketregel een beleidsbeslissing in de client wordt. Schrijf op welke van de twee u hebt toegevoegd, want wie het later debugt, gaat van de andere uit.
Test de faaltoestand, niet alleen het gelukkige pad
Een applicatie die van de tunnel is uitgesloten, krijgt niet automatisch schone directe toegang. Als de client daarnaast een regel afdwingt die zonder VPN blokkeert, kan het uitgesloten verkeer volledig worden weggegooid, wat eerder op een kapotte app lijkt dan op een routingbeslissing. Test dat geval bewust in plaats van het uit een gebruikersmelding te vernemen.
Controleer daarna DNS en IPv6 als aparte punten. Een tunnel die alleen IPv4 draagt, laat een v6-capabele applicatie een weg eromheen, en split-DNS bepaalt of interne namen worden opgelost voor verkeer dat helemaal niet getunneld wordt. Draai een opgenomen app, een niet-opgenomen app, een naamopzoeking en één herverbinding, en bewaar de resultaten bij de configuratie.
Schrijf de standaard op waar de volgende persoon hem vindt
Leg de gekozen standaard, de uitzonderingen en hun eigenaren vast op dezelfde plek als het clientprofiel, want de volgende beheerder voegt een regel toe zonder deze redenering te lezen. Noteer datum en reden van elke uitzondering, zodat een verouderde uitzondering voor een inmiddels gerepareerde site met vertrouwen kan worden verwijderd. Een lijst zonder redenen groeit voor altijd door.
Als iemand één kapotte bestemming meldt, wijzig dan de uitzondering en niet de basislijn. De standaard omdraaien om één site te redden verplaatst stilzwijgend elke niet-opgenomen applicatie naar de andere kant van de tunnel.