VPN-unntak for heimenettet på Android: ei køyrebok for éin teneste

Du vil ha éi heimeteneste tilgjengeleg medan VPN framleis gjeld for alt anna. Den freistande innstillinga er eit unntak for den lokale ruta som dekkjer kvar privat adresse, og det er feil kontroll: på det neste hotell- eller kafeenettet kan ho gjere kva som helst som svarar om til ein omveg. Denne køyreboka afgrensar unntaket til éi teneste og provar det under overgangane som bryt det.

Definer unntaket som ei teneste, ikkje eit subnett

Noter appen, vertsnamnet og adressa til målet, protokollen og porten, nettet der det er tillate, og identitetskontrollen tenesta sjølv gjer. For eit NAS med autentisering er det sertifikatet eller kontoen som provar at du nådde rett maskin. Ei adresse i 192.168.0.0/16 provar ingenting, fordi kvar heimerutar deler ut dei same prefiksa.

Avgjer òg kva nær tyder. Ei teneste på eit ruta VLAN er ikkje på subnettet telefonen er direkte kopla til, og eit gjeste-Wi-Fi kan dele same private prefiks som heimen og likevel vere ein heilt annan maskin. Unntaket skal namngje tenesta og miljøet, ikkje berre adresseområdet.

Stadfest at plattformkontrollen passar til kravet

IKEv2-profilbyggjaren i Android eksponerer setLocalRoutesExcluded(true), og dokumentasjonen krev ein VPN som kan omgåast: unntaket er berre meiningsfullt når klienten lèt trafikk gå utanom tunnelen. Same dokumentasjonen åtvarar om at det underliggjande nettet kan levere ruter som påverkar unntaket, og difor følgjer innstillinga nettet du koplast til, ikkje nettet du stolar på.

Det er heller ikkje eit løfte om at kvar låsing eller administrert konfigurasjon lèt brukaren slå på det same unntaket. Ruteunntak, omgåingsflagget og blokkeringspolicyen for eininga er skilde kontrollar, og ei administrert eining kan forby den tredje medan ho tillèt dei to fyrste. Kontroller den installerte profilen og administrasjonspolicyen før du designar rundt ein avkrysningsboks.

Køyrebok: bygg og bruk unntaket

Steg 1: lag profilen via den støtta vegen for utrullinga, anten den administrerte konfigurasjonen eller klientbyggjaren. Steg 2: merk VPN-en som omgåeleg, fordi unntaket for den lokale ruta ikkje verkar utan. Steg 3: slå på unntaket for den lokale ruta. Steg 4: hald tenesta si eiga autentisering og sertifikatvalidering på; unntaket handlar om ruting, ikkje om tillit. Steg 5: lagre og kople til på nytt slik at profilen blir brukt.

Tilbakerulling er same vegen baklengs: fjern unntaket, fjern så omgåelegheita, og kople så til på nytt. Ikkje lapp ei rute eller ein brannmur-krok direkte på eininga. Nettverksdémonen eig desse reglane, og ein manuell regel kan oversjå ein annan adressefamilie, ei ny tilkopling eller ein nettverksovergang. Viss den installerte konfigurasjonen ikkje kan uttrykke policyen, hald den strengare blokkeringa til eigaren godkjenner eit anna design.

Test dei fire tilfella som tyder noko

Bruk harmlause førespurnader og skriv ned venta resultat før du køyrer kvart tilfelle. Matrisa nedanfor er aksepttesten, ikkje eit framlegg: viss eit avvist tilfelle lukkast, er unntaket breiare enn policyen.

Tilfelle 3 er det som fangar ein brei omveg over eit privat subnett, og tilfelle 4 fangar ein klient som berre brukte unntaket ved tilkopling. Køyr tilfelle 4 med VPN fråkopla og telefonen flytta til mobilnett, kople så til på nytt og stadfest at unntaket kjem attende utan omstart. API-referansen for den lokale ruta nemner omgåelegheitskravet som gjer steg 2 obligatorisk.

Registrer unntaket og gå gjennom det

Den vedlikehaldne registreringa skal namngje tenesta, miljøet som grunngav ho, eigaren og datoen. Lokal skildrar eit rutingtilhøve, ikkje eit tillitsnivå, og det neste nettet telefonen koplast til, er ikkje nettet der unntaket vart godkjent.

Gå gjennom registreringa etter ei OS-oppdatering, ei klientoppdatering eller ei flytting. Køyr tilfelle 3 på nytt kvar gong unntaket blir fornya, fordi ein profil som ein gong avgrensa omvegen til éi teneste, kan utvidast med ei einaste standardendring.