Exceção de VPN para a LAN de casa no Android: guia para um único serviço

Quer um serviço de casa acessível enquanto a VPN continua em vigor para tudo o resto. O ajuste tentador é uma exceção de rota local que cobre todos os endereços privados, e esse é o controlo errado: na próxima rede de hotel ou café pode transformar em desvio tudo o que responder. Este guia limita a exceção a um único serviço e prova-a nas transições que a quebram.

Defina a exceção como serviço, não como sub-rede

Registe a aplicação, o nome de anfitrião e o endereço de destino, o protocolo e a porta, a rede onde é permitido e a verificação de identidade que o próprio serviço faz. Num NAS com autenticação, é o certificado ou a conta que prova que chegou à máquina certa. Um endereço em 192.168.0.0/16 não prova nada, porque cada router doméstico distribui os mesmos prefixos.

Decida também o que significa perto. Um serviço numa VLAN encaminhada não está na sub-rede ligada diretamente ao telefone, e um Wi-Fi de convidados pode partilhar o mesmo prefixo privado da casa e ser uma máquina completamente diferente. A exceção deve nomear o serviço e o ambiente, não apenas o intervalo de endereços.

Confirme que o controlo da plataforma se adequa ao requisito

O construtor de perfis IKEv2 do Android expõe setLocalRoutesExcluded(true), e a sua documentação exige uma VPN que possa ser contornada: a exceção só faz sentido quando o cliente deixa o tráfego contornar o túnel. A mesma documentação avisa que a rede subjacente pode fornecer rotas que afetam a exceção, por isso o ajuste segue a rede a que se liga, não a rede em que confia.

Também não é uma promessa de que cada bloqueio ou configuração gerida deixe o utilizador ativar a mesma exceção. A exceção de rota, o sinalizador de contorno e a política de bloqueio do dispositivo são controlos separados, e um dispositivo gerido pode proibir o terceiro enquanto permite os dois primeiros. Verifique o perfil instalado e a política de gestão antes de desenhar em torno de uma caixa de seleção.

Guia: construa e aplique a exceção

Passo 1: crie o perfil pelo caminho suportado para a implementação, a configuração gerida ou o construtor de cliente. Passo 2: marque a VPN como contornável, porque a exceção de rota local não é eficaz sem isso. Passo 3: ative a exceção de rota local. Passo 4: mantenha ativas a autenticação do próprio serviço e a validação do certificado; a exceção é sobre encaminhamento, não sobre confiança. Passo 5: guarde e reconecte para que o perfil seja aplicado.

A reversão é o mesmo caminho ao contrário: limpe a exceção, depois limpe o contorno e depois reconecte. Não aplique patches a uma rota ou a um gancho de firewall diretamente no dispositivo. O daemon de rede é dono dessas regras, e uma regra manual pode falhar outra família de endereços, uma reconexão ou uma transição de rede. Se a configuração instalada não conseguir exprimir a política, mantenha o bloqueio mais rigoroso até o proprietário aprovar outro desenho.

Teste os quatro casos que importam

Use pedidos inofensivos e registe o resultado esperado antes de executar cada caso. A matriz abaixo é o teste de aceitação, não uma sugestão: se qualquer caso negado tiver sucesso, a exceção é mais ampla do que a política.

O caso 3 é o que apanha um desvio amplo de sub-rede privada, e o caso 4 apanha um cliente que só aplicou a exceção ao ligar. Execute o caso 4 com a VPN desligada e o telefone passado para a rede móvel, depois reconecte e confirme que a exceção regressa sem reiniciar. A referência da API de rota local indica o requisito de contorno que torna o passo 2 obrigatório.

Registe a exceção e reveja-a

O registo mantido deve nomear o serviço, o ambiente que o justificou, o proprietário e a data. Local descreve uma relação de encaminhamento, não um nível de confiança, e a próxima rede a que o telefone se ligar não é a rede onde a exceção foi aprovada.

Reveja o registo após uma atualização do sistema, uma atualização do cliente ou uma mudança de casa. Execute novamente o caso 3 sempre que a exceção for renovada, porque um perfil que um dia limitou o contorno a um serviço pode ser alargado com uma única alteração predefinida.