VPN-unntak for hjemmenettet på Android: en kjørebok for én tjeneste

Du ønsker én hjemmetjeneste tilgjengelig mens VPN-en fortsatt gjelder for alt annet. Den fristende innstillingen er et unntak for den lokale ruten som dekker hver privat adresse, og det er den gale kontrollen: på det neste hotell- eller kafénettet kan den gjøre hva som helst som svarer om til en omvei. Denne kjøreboken avgrenser unntaket til én tjeneste og beviser det under overgangene som bryter det.

Definer unntaket som en tjeneste, ikke et subnett

Skriv ned appen, vertsnavnet og adressen til målet, protokollen og porten, nettet der det er tillatt, og identitetskontrollen tjenesten selv utfører. På et NAS med autentisering er det sertifikatet eller kontoen som beviser at du nådde riktig maskin. En adresse i 192.168.0.0/16 beviser ingenting, fordi hver hjemmeruter deler ut de samme prefiksene.

Bestem også hva nær betyr. En tjeneste på et rutet VLAN er ikke på subnettet telefonen er direkte koblet til, og et gjeste-Wi-Fi kan dele samme private prefiks som hjemmet og likevel være en helt annen maskin. Unntaket bør navngi tjenesten og miljøet, ikke bare adresseområdet.

Bekreft at plattformkontrollen passer kravene

Androids IKEv2-profilbygger eksponerer setLocalRoutesExcluded(true), og dokumentasjonen krever en VPN som kan omgås: unntaket er bare meningsfullt når klienten lar trafikk gå utenom tunnelen. Samme dokumentasjon advarer om at det bakenforliggende nettet kan levere ruter som påvirker unntaket, og derfor følger innstillingen nettet du kobler deg til, ikke nettet du stoler på.

Det er heller ikke et løfte om at enhver låsing eller administrert konfigurasjon lar brukeren slå på det samme unntaket. Ruteunntak, omgåelsesflagget og enhetens blokkeringspolicy er atskilte kontroller, og en administrert enhet kan forby den tredje mens den tillater de to første. Kontroller den installerte profilen og administrasjonspolicyen før du designer rundt en avkrysningsboks.

Kjørebok: bygg og anvend unntaket

Trinn 1: opprett profilen via den støttede veien for utrullingen, enten den administrerte konfigurasjonen eller klientbyggeren. Trinn 2: merk VPN-en som omgåelig, fordi unntaket for den lokale ruten ikke virker uten. Trinn 3: slå på unntaket for den lokale ruten. Trinn 4: hold tjenestens egen autentisering og sertifikatvalidering slått på; unntaket handler om ruting, ikke om tillit. Trinn 5: lagre og koble til igjen slik at profilen anvendes.

Tilbakerullingen er samme vei baklengs: fjern unntaket, fjern deretter omgåeligheten, og koble så til igjen. Ikke lapp en rute eller en brannmur-krok direkte på enheten. Nettverksdemonen eier disse reglene, og en manuell regel kan overse en annen adressefamilie, en ny tilkobling eller en nettverksovergang. Hvis den installerte konfigurasjonen ikke kan uttrykke retningslinjen, behold den strengere blokkeringen til eieren godkjenner et annet design.

Test de fire tilfellene som betyr noe

Bruk ufarlige forespørsler og skriv ned forventet resultat før du kjører hvert tilfelle. Matrisen nedenfor er aksepttesten, ikke et forslag: hvis et avvist tilfelle lykkes, er unntaket bredere enn retningslinjen.

Tilfelle 3 er det som fanger en bred omvei over et privat subnett, og tilfelle 4 fanger en klient som bare brukte unntaket ved tilkobling. Kjør tilfelle 4 med VPN-en frakoblet og telefonen flyttet til mobilnettet, koble deretter til igjen og bekreft at unntaket kommer tilbake uten omstart. API-referansen for den lokale ruten angir omgåelighetskravet som gjør trinn 2 påkrevd.

Registrer unntaket og gjennomgå det

Den vedlikeholdte registreringen skal navngi tjenesten, miljøet som begrunnet den, eieren og datoen. Lokal beskriver et rutingforhold, ikke et tillitsnivå, og det neste nettet telefonen kobler seg til, er ikke nettet der unntaket ble godkjent.

Gjennomgå registreringen etter en OS-oppdatering, en klientoppdatering eller en flytting. Kjør tilfelle 3 på nytt hver gang unntaket fornyes, fordi en profil som en gang begrenset omveien til én tjeneste, kan utvides med én enkelt standardendring.