Len zahrnutie alebo len vylúčenie: ktorá predvolená voľba?
Zvoľte predvolené nastavenie skôr, než postavíte zoznam: tunelujte len to, čo pomenujete, alebo tunelujte všetko a vyrežte výnimky. Potom otestujte aplikáciu, ktorú nikto nepridal.
Otvorte sekciu smerovania vo svojom VPN klientovi a uvidíte dva rôzne tvarované ovládacie prvky, ktoré často nesú rovnaký popis. Jeden vás žiada, aby ste vypísali ciele, ktoré patria do tunela, a všetko ostatné ďalej používa miestnu sieť. Druhý predpokladá, že všetko ide tunelom, a pýta sa, čo sa má vyrezať späť. Oba dajú pri prvom teste funkčný tunel a oba sa udržiavajú pridávaním riadkov do zoznamu, a preto rozdiel zostáva neviditeľný, kým niekto nenainštaluje niečo nové.
Voľba je predvolené nastavenie, nie funkcia. Rozhodnite ju skôr, než bude mať zoznam dvadsať položiek.
Prečítajte predvolené nastavenie z klienta, nie z brožúry
WireGuard robí rozhodnutie nezvyčajne viditeľným, pretože AllowedIPs je zoznam zahrnutia a nič iné. Peer s 0.0.0.0/0, ::/0 tuneluje všetko; peer s 10.20.0.0/16 tuneluje len to. Syntax vylúčenia neexistuje, takže ak chcete jednu podsieť nechať bokom, musíte buď vypísať všetky ostatné prefixy, alebo pridať smerovanie zásad mimo rozhrania.
OpenVPN dochádza na rovnaké miesto z opačnej strany: redirect-gateway def1 inštaluje plný tunel a výslovné direktívy route pridávajú alebo prepisujú konkrétne prefixy. Komerční klienti obvykle oboje skrývajú za zaškrtávacím poľom a tabuľkou cieľov, takže si prečítajte, ktorý z tých dvoch tabuľka skutočne upravuje, kým popisu uveríte.
Otázka nie je, ako sa zaškrtávacie pole volá. Otázka je, čo sa stane s paketom, ktorého cieľ nie je na žiadnom z dvoch zoznamov. Odpovedzte na to písomne a zvyšok konfigurácie z toho vyplýva. Ak otázku preskočíte, o prvej nevysvetlenej poruche rozhodne ten, kto ten deň sedí klientovi najbližšie.
Sledujte aplikáciu, ktorú nikto nepridal
V návrhu len so zahrnutím ide tá aplikácia priamo, cez miestnu sieť, s miestnym DNS. V návrhu len s vylúčením prechádza tunelom, podľa toho, čo server dovolí, a to je často rozdiel medzi novým nástrojom SaaS, ktorý funguje prvý deň, a tiketom, že ho VPN rozbila.
Ani jedna z predvolených volieb nie je sama o sebe bezpečnejšia. Zahrnutie zužuje, čo tunel nesie, a robí z miestnej siete cestu najmenšieho odporu; vylúčenie berie tunel ako bežnú cestu a výnimky berie ako výnimky, čo je bližšie tomu, čo väčšina podnikových zásad skutočne zamýšľa.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Všimnite si, aký druh objektu platforma vypisuje
Prvok VpnService.Builder v Androide ponúka zoznam povolených a zoznam zakázaných aplikácií ako dva oddelené modely a pravidlá pre aplikácie vyberajú podľa balíka, nie podľa cieľa. Prehliadač na takom zozname nesie každý cieľ, ktorý otvorí, čo je iná zrnitosť než smerovacia tabuľka a nedokáže opraviť jedinú rozbitú stránku vnútri fungujúcej aplikácie.
Desktopoví klienti obvykle miešajú oba druhy v jednom rozhraní, takže skontrolujte, či pridávaný riadok je balík, názov hostiteľa alebo prefix. Zlyhávajú rôznymi spôsobmi a riešia sa na rôznych miestach. Riadok s názvom hostiteľa sa obvykle stane trasou plus menom, zatiaľ čo riadok s balíkom sa stane rozhodnutím zásad vnútri klienta. Zapíšte, ktorý z dvoch ste pridali, pretože ten, kto to bude neskôr ladiť, bude predpokladať ten druhý.
Testujte stav zlyhania, nie len šťastnú cestu
Aplikácia vylúčená z tunela nedostane automaticky čistý priamy prístup. Ak klient navyše vynucuje pravidlo, ktoré bez VPN blokuje, môže byť vylúčená prevádzka úplne zahodená, čo vyzerá ako rozbitá aplikácia, nie ako rozhodnutie smerovania. Otestujte ten prípad zámerne, namiesto toho, aby ste sa o ňom dozvedeli zo správy používateľa.
Potom skontrolujte DNS a IPv6 ako samostatné body. Tunel, ktorý nesie len IPv4, necháva aplikácii schopnej v6 cestu okolo, a rozdelené DNS rozhoduje, či sa vnútorné mená prekladajú pre prevádzku, ktorá vôbec nejde tunelom. Spustite aplikáciu na zozname, aplikáciu mimo zoznamu, dopyt na meno a jedno opätovné pripojenie a výsledky uložte spolu s konfiguráciou.
Zapíšte predvolenú voľbu tam, kde ju nájde ďalší človek
Zaznamenajte zvolenú predvolenú voľbu, výnimky a kto za ne zodpovedá na rovnaké miesto ako profil klienta, pretože ďalší správca pridá položku bez prečítania tohto zdôvodnenia. Poznamenajte dátum a dôvod každej výnimky, aby zastaranú výnimku pre stránku, ktorá bola medzitým opravená, bolo možné s istotou odstrániť. Zoznam bez dôvodov rastie naveky.
Keď niekto nahlási jediný rozbitý cieľ, zmeňte výnimku, nie základnú líniu. Prevrhnutie predvolenej voľby kvôli oprave jednej stránky ticho presunie každú aplikáciu mimo zoznamu na druhú stranu tunela.