Berre inkluder eller berre ekskluder delt tunnel: kva er standarden?
Vel standarden før du byggjer lista: tunnelér berre det du namngir, eller tunnelér alt og skjer ut unntaka. Test deretter appen ingen har ført opp.
Opne rutingsdelen i VPN-klienten, og du ser to ulikt forma kontrollar som ofte ber same etiketten. Den eine ber deg føre opp måla som skal inn i tunnelen, og alt anna held fram med å bruke det lokale nettet. Den andre går ut frå at alt går i tunnelen og spør kva som skal skjerast ut att. Begge gir ein tunnel som verkar på første test, og begge blir vedlikehaldne ved å leggje linjer til ei liste, og difor blir skilnaden usynleg til nokon installerer noko nytt.
Dette er eit standardval, ikkje ein funksjon. Avgjer det før lista har tjuve oppføringar.
Les standarden frå klienten, ikkje frå brosjyren
WireGuard gjer avgjerda uvanleg synleg, fordi AllowedIPs er ei inkluderingsliste og ingenting anna. Ein peer med 0.0.0.0/0, ::/0 tunnelérer alt, medan ein peer med 10.20.0.0/16 berre tunnelérer det nettet. Det finst ingen ekskluderingssyntaks, så vil du halde eitt subnett utanfor, må du anten føre opp alle andre prefiks eller leggje til policyrutering utanfor grensesnittet.
OpenVPN kjem til same stad frå motsett side: redirect-gateway def1 legg inn ein full tunnel, medan særskilde route-direktiv legg til eller skriv over bestemte prefiks. Kommersielle klientar legg oftast begge bak ei avkryssingsboks og ei måltabell, så les kva av dei tabellen faktisk endrar før du trur på etiketten.
Spørsmålet er ikkje kva avkryssingsboksen heiter. Det er kva som skjer med ein pakke der målet ikkje står i noka av listene. Svar skriftleg på det, og resten av konfigurasjonen følgjer av svaret. Hoppar du over spørsmålet, blir den første uforklarlege feilen avgjord av den som er nærast klienten den dagen.
Følg ein app ingen har ført opp
I eit berre-inkluder-oppsett går appen rett ut, på det lokale nettet og med lokal DNS. I eit berre-ekskluder-oppsett går ho gjennom tunnelen, så langt serveren tillèt, og nettopp her ligg ofte skilnaden mellom at eit nytt SaaS-verktøy verkar dag éin og at det kjem ein sak om at VPN-en øydela det.
Ingen av standardane er tryggare i seg sjølv. Berre inkluder snevrar inn det tunnelen ber og gjer det lokale nettet til vegen med minst motstand, medan berre ekskluder reknar tunnelen som den normale vegen og handsamar unntak som unntak, noko som er nærmare det dei fleste konsernretningslinjer faktisk meiner.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Legg merke til kva slag objekt plattformen fører opp
VpnService.Builder på Android legg fram lista over tillatne appar og lista over forbodne appar som to skilde modellar, og reglane per app vel etter pakke og ikkje etter mål. Ein nettlesar som blir sett i ei slik liste, ber med seg kvart mål han opnar, og det er ein annan granularitet enn ein rutetabell og kan ikkje rette éin øydelagd stad inne i ein app som verkar.
Skrivebordsklientar blandar oftast begge slaga i eitt grensesnitt, så sjekk om linja du legg til er ei pakke, eit vertsnamn eller eit prefiks. Dei feilar på ulike måtar og blir løyste på ulike stader. Ei vertsnamnlinje blir oftast ei rute pluss eit namn, medan ei pakkelinje blir eit policyval inne i klienten. Skriv ned kva du la til, for den som feilsøkjer seinare kjem til å gå ut frå det andre.
Test feiltilstanden, ikkje berre den greie vegen
Ein app som er ekskludert frå tunnelen får ikkje automatisk rein direkte tilgang. Viss klienten òg handhevar ein regel om blokkering utan VPN, kan den ekskluderte trafikken bli sleppt heilt, og det ser ut som ein øydelagd app og ikkje som eit ruteval. Test det tilfellet med vilje i staden for å oppdage det frå ein brukarrapport.
Sjekk deretter DNS og IPv6 som eigne punkt. Ein tunnel som berre fører IPv4, lèt ein app med v6-støtte få ein veg rundt, og split DNS avgjer om interne namn blir løyste for trafikk som ikkje går i tunnelen i det heile. Køyr ein app som står i lista, ein app som ikkje står der, eitt namneoppslag og éi ny tilkopling, og ta vare på resultata saman med konfigurasjonen.
Skriv ned standarden der den neste finn han
Før opp den valde standarden, unntaka og kven som eig dei på same stad som klientprofilen, fordi den neste administratoren legg til ei oppføring utan å lese denne grunngjevinga. Noter dato og grunn for kvart unntak, slik at eit utdatert unntak for ein stad som sidan er retta kan fjernast med tryggheit. Ei liste utan grunnar veks i det uendelege.
Når nokon melder om eitt øydelagt mål, endre unntaket og ikkje grunnlaget. Å snu standarden for å rette éin stad flyttar kvar app som ikkje står i lista, stille over på den andre sida av tunnelen.