Izjema VPN za domače omrežje LAN v Androidu: navodila za eno storitev

Želite, da ena domača storitev ostane dosegljiva, medtem ko VPN velja za vse drugo. Zapeljiva nastavitev je izjema lokalne poti, ki pokriva vsak zasebni naslov, in to je napačna kontrola: v naslednjem hotelskem ali kavarniškem omrežju lahko vse, kar se odzove, spremeni v obvoz. Ta navodila zožijo izjemo na eno storitev in jo dokažejo pri prehodih, ki jo zlomijo.

Opredelite izjemo kot storitev, ne kot podomrežje

Zapišite aplikacijo, ime gostitelja in naslov cilja, protokol in vrata, omrežje, v katerem je to dovoljeno, in preverjanje identitete, ki ga izvaja sama storitev. Pri NAS z overjanjem pravi stroj dokazuje potrdilo ali račun. Naslov v 192.168.0.0/16 ne dokaže ničesar, ker vsak domači usmerjevalnik deli iste predpone.

Določite tudi, kaj pomeni blizu. Storitev v usmerjenem VLAN ni v podomrežju, ki je neposredno povezano s telefonom, gostujoči Wi-Fi pa lahko deli isto zasebno predpono z domom in vseeno biti povsem drug stroj. Izjema mora poimenovati storitev in okolje, ne le obsega naslovov.

Preverite, ali se nadzor platforme ujema z zahtevo

Graditelj profilov IKEv2 v Androidu ponuja setLocalRoutesExcluded(true), njegova dokumentacija pa zahteva VPN, ki ga je mogoče obiti: izjema ima smisel le, ko odjemalec dovoli prometu, da obide tunel. Ista dokumentacija opozarja, da lahko osnovno omrežje zagotovi poti, ki vplivajo na izjemo, zato nastavitev sledi omrežju, ki se mu pridružite, ne omrežju, ki mu zaupate.

To tudi ni obljuba, da bo vsaka zaklenitev ali upravljana konfiguracija uporabniku dovolila vklopiti isto izjemo. Izjema poti, zastavica obhodnosti in politika blokiranja naprave so ločene kontrole, upravljana naprava pa lahko prepove tretjo, medtem ko dovoli prvi dve. Pred načrtovanjem okoli potrditvenega polja preverite nameščeni profil in politiko upravljanja.

Navodila: zgradite in uporabite izjemo

Korak 1: ustvarite profil po podprti poti za uvajanje, bodisi upravljano konfiguracijo bodisi graditelja odjemalca. Korak 2: označite VPN kot obhodni, ker izjema lokalne poti brez tega ne deluje. Korak 3: vklopite izjemo lokalne poti. Korak 4: pustite vključeno lastno overjanje storitve in preverjanje potrdila; izjema je o usmerjanju, ne o zaupanju. Korak 5: shranite in se znova povežite, da se profil uporabi.

Vračanje je ista pot v obratnem vrstnem redu: počistite izjemo, nato počistite obhodnost in se nato znova povežite. Ne popravljajte poti ali kavlja požarnega zidu neposredno na napravi. Omrežni demon je lastnik teh pravil in ročno pravilo lahko zgreši drugo družino naslovov, ponovno povezavo ali omrežni prehod. Če nameščena konfiguracija ne more izraziti politike, obdržite strožjo blokado, dokler lastnik ne odobri druge zasnove.

Preizkusite štiri pomembne primere

Uporabite neškodljive zahteve in pred izvedbo vsakega primera zapišite pričakovani rezultat. Matrika spodaj je sprejemni preizkus, ne predlog: če kateri koli prepovedan primer uspe, je izjema širša od politike.

Primer 3 ujame širok obvoz zasebnega podomrežja, primer 4 pa ujame odjemalca, ki je izjemo uporabil le ob povezavi. Izvedite primer 4 z izklopljenim VPN in telefonom, prestavljenim na mobilno omrežje, nato se znova povežite in potrdite, da se izjema vrne brez ponovnega zagona. Referenca API lokalne poti navaja zahtevo po obhodnosti, ki naredi korak 2 obvezen.

Zabeležite izjemo in jo pregledujte

Vzdrževani zapis mora poimenovati storitev, okolje, ki jo je upravičilo, lastnika in datum. Lokalno opisuje razmerje usmerjanja, ne ravni zaupanja, in naslednje omrežje, ki se mu telefon pridruži, ni omrežje, kjer je bila izjema odobrena.

Preglejte zapis po posodobitvi OS, posodobitvi odjemalca ali selitvi. Ob vsaki obnovitvi izjeme znova izvedite primer 3, ker je profil, ki je nekoč zožil obvoz na eno storitev, mogoče razširiti z eno samo privzeto spremembo.