Só incluídos ou só excluídos: qual é o padrão?

Abra a secção de encaminhamento do seu cliente VPN e vê dois controlos de forma diferente que muitas vezes têm o mesmo rótulo. Um pede-lhe para listar os destinos que pertencem ao túnel, e tudo o resto continua a usar a rede local. O outro assume que tudo passa pelo túnel e pergunta o que deve ser recortado. Ambos dão um túnel funcional no primeiro teste, e ambos são mantidos acrescentando linhas a uma lista, e é por isso que a diferença fica invisível até alguém instalar algo novo.

A escolha é um padrão, não uma funcionalidade. Decida-a antes de a lista ter vinte entradas.

Ler o padrão no cliente, não no folheto

O WireGuard torna a decisão invulgarmente visível, porque AllowedIPs é uma lista de inclusão e nada mais. Um par com 0.0.0.0/0, ::/0 encaminha tudo; um par com 10.20.0.0/16 encaminha apenas isso. Não existe sintaxe de exclusão, por isso, para deixar uma sub-rede de fora, tem de enumerar todos os outros prefixos ou acrescentar encaminhamento por políticas fora da interface.

OpenVPN chega ao mesmo sítio pelo lado oposto, com redirect-gateway def1 a instalar um túnel completo e diretivas route explícitas que acrescentam ou substituem prefixos concretos. Os clientes comerciais escondem normalmente os dois atrás de uma caixa de seleção e de uma tabela de destinos, por isso leia qual dos dois a tabela edita realmente antes de confiar no rótulo.

A pergunta não é como se chama a caixa de seleção. A pergunta é o que acontece a um pacote cujo destino não consta de nenhuma das duas listas. Responda por escrito, e o resto da configuração decorre daí. Se saltar a pergunta, a primeira falha inexplicada será decidida por quem nesse dia estiver mais perto do cliente.

Seguir uma aplicação que ninguém inscreveu

Num desenho só de inclusão, essa aplicação vai em direto, pela rede local, com o DNS local. Num desenho só de exclusão, passa pelo túnel, conforme o que o servidor permitir, e é muitas vezes essa a diferença entre uma nova ferramenta SaaS que funciona no primeiro dia e um pedido de ajuda a dizer que a VPN a estragou.

Nenhum dos padrões é mais seguro por si só. A inclusão restringe o que o túnel transporta e faz da rede local o caminho de menor resistência; a exclusão toma o túnel como caminho normal e trata as exceções como exceções, o que fica mais próximo de o que a maioria das políticas empresariais pretende de facto.

Repare em que tipo de objeto a plataforma lista

O VpnService.Builder do Android expõe uma lista de aplicações permitidas e uma lista de aplicações proibidas como dois modelos separados, e as regras por aplicação escolhem por pacote e não por destino. Um navegador colocado numa lista dessas transporta cada destino que abre, o que é uma granularidade diferente de uma tabela de rotas e não consegue corrigir um único site avariado dentro de uma aplicação que funciona.

Os clientes de ambiente de trabalho misturam normalmente os dois tipos numa só interface, por isso verifique se a linha que está a acrescentar é um pacote, um nome de anfitrião ou um prefixo. Falham de formas diferentes e resolvem-se em sítios diferentes. Uma linha de nome de anfitrião torna-se normalmente uma rota mais um nome, enquanto uma linha de pacote se torna uma decisão de política dentro do cliente. Anote qual das duas acrescentou, porque quem depurar mais tarde vai assumir a outra.

Testar o estado de falha, não só o caminho feliz

Uma aplicação excluída do túnel não ganha automaticamente acesso direto limpo. Se o cliente também impuser uma regra que bloqueia sem VPN, o tráfego excluído pode ser descartado por completo, o que parece uma aplicação avariada e não uma decisão de encaminhamento. Teste esse caso de propósito em vez de o descobrir num relato de utilizador.

Verifique depois o DNS e o IPv6 como pontos separados. Um túnel que só transporta IPv4 deixa a uma aplicação capaz de v6 um caminho para o contornar, e o DNS dividido decide se os nomes internos são resolvidos para tráfego que não passa de todo pelo túnel. Execute uma aplicação listada, uma aplicação não listada, uma consulta de nome e uma reconexão, e guarde os resultados junto da configuração.

Escrever o padrão onde a próxima pessoa o encontre

Registe o padrão escolhido, as exceções e quem é responsável por elas no mesmo local do perfil do cliente, porque o próximo administrador vai acrescentar uma entrada sem ler este raciocínio. Anote a data e o motivo de cada exceção, para que uma exceção desatualizada de um site entretanto corrigido possa ser removida com confiança. Uma lista sem motivos cresce para sempre.

Quando alguém relata um único destino avariado, altere a exceção e não a base. Inverter o padrão para corrigir um só site move em silêncio cada aplicação não listada para o outro lado do túnel.