Výnimka VPN pre domácu LAN na Androide: návod pre jednu službu
Vylúčte iba schválenú domácu službu, nie všetky privátne trasy. Napíšte politiku, použite obchádzateľnú VPN a potom otestujte zlyhanie hosťovskej siete.
Chcete, aby jedna domáca služba zostala dostupná, kým VPN platí pre všetko ostatné. Lákavé nastavenie je výnimka lokálnej trasy pokrývajúca každú privátnu adresu, a to je nesprávna kontrola: v ďalšej hotelovej alebo kaviarenskej sieti môže premeniť čokoľvek, čo odpovie, na obchádzku. Tento návod obmedzuje výnimku na jednu službu a dokazuje ju pri prechodoch, ktoré ju lámu.
Definujte výnimku ako službu, nie ako podsiet
Zapíšte aplikáciu, názov hostiteľa a adresu cieľa, protokol a port, sieť, v ktorej je to povolené, a overenie identity, ktoré vykonáva samotná služba. Pri NAS s autentifikáciou dokazuje správny stroj certifikát alebo účet. Adresa v 192.168.0.0/16 nedokazuje nič, pretože každý domáci router rozdáva rovnaké prefixy.
Rozhodnite aj, čo znamená blízko. Služba na routovanej VLAN nie je v podsieti pripojenej priamo k telefónu a hosťovská Wi-Fi môže zdieľať rovnaký privátny prefix ako domov, a pritom byť úplne iný stroj. Výnimka má pomenovať službu a prostredie, nielen rozsah adries.
Overte, že kontrola platformy zodpovedá požiadavke
Tvorca profilov IKEv2 v Androide sprístupňuje setLocalRoutesExcluded(true) a jeho dokumentácia vyžaduje obchádzateľnú VPN: výnimka má zmysel len vtedy, keď klient nechá prevádzku obísť tunel. Tá istá dokumentácia varuje, že podkladová sieť môže dodať trasy ovplyvňujúce výnimku, preto nastavenie sleduje sieť, ku ktorej sa pripájate, nie sieť, ktorej dôverujete.
Nie je to ani prísľub, že každé uzamknutie alebo spravovaná konfigurácia dovolí používateľovi zapnúť rovnakú výnimku. Výnimka trasy, príznak obchádzateľnosti a politika blokovania zariadenia sú oddelené kontroly a spravované zariadenie môže tretiu zakázať, kým prvé dve povolí. Pred návrhom okolo zaškrtávacieho poľa skontrolujte nainštalovaný profil a politiku správy.
Návod: zostavte a použite výnimku
Krok 1: vytvorte profil podporovanou cestou pre nasadenie, buď spravovanú konfiguráciu, alebo tvorcu klienta. Krok 2: označte VPN ako obchádzateľnú, pretože výnimka lokálnej trasy bez toho nefunguje. Krok 3: zapnite výnimku lokálnej trasy. Krok 4: ponechajte vlastnú autentifikáciu služby a overovanie certifikátu zapnuté; výnimka je o smerovaní, nie o dôvere. Krok 5: uložte a znova sa pripojte, aby sa profil použil.
Vrátenie je tá istá cesta opačne: vymažte výnimku, potom vymažte obchádzateľnosť, potom sa znova pripojte. Nezáplatujte trasu ani háčik firewallu priamo na zariadení. Sieťový démon vlastní tieto pravidlá a ručné pravidlo môže minúť inú rodinu adries, opätovné pripojenie alebo sieťový prechod. Ak nainštalovaná konfigurácia nevie vyjadriť politiku, ponechajte prísnejšie blokovanie, kým vlastník neschváli iný návrh.
Otestujte štyri prípady, na ktorých záleží
Použite neškodné požiadavky a pred spustením každého prípadu zapíšte očakávaný výsledok. Matrica nižšie je akceptačný test, nie návrh: ak niektorý zakázaný prípad uspeje, výnimka je širšia než politika.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
Prípad 3 zachytí širokú obchádzku privátnej podsiete a prípad 4 zachytí klienta, ktorý výnimku použil len pri pripojení. Spustite prípad 4 s odpojenou VPN a telefónom presunutým na mobilnú sieť, potom sa znova pripojte a potvrďte, že sa výnimka vracia bez reštartu. Referencia API lokálnej trasy uvádza požiadavku obchádzateľnosti, ktorá robí krok 2 povinným.
Zaznamenajte výnimku a revidujte ju
Udržiavaný záznam má pomenovať službu, prostredie, ktoré ju odôvodnilo, vlastníka a dátum. Lokálne opisuje vzťah smerovania, nie úroveň dôvery, a ďalšia sieť, ku ktorej sa telefón pripojí, nie je sieťou, kde bola výnimka schválená.
Revidujte záznam po aktualizácii OS, aktualizácii klienta alebo presťahovaní. Pri každom obnovení výnimky znova spustite prípad 3, pretože profil, ktorý kedysi obmedzil obchádzku na jednu službu, možno jednou zmenou predvolenej hodnoty rozšíriť.