Samo vključitev ali samo izključitev: katera privzeta nastavitev?
Izberite privzeto nastavitev, preden zgradite seznam: tunelirajte samo to, kar poimenujete, ali tunelirajte vse in izrežite izjeme. Nato preizkusite aplikacijo, ki je nihče ni dodal.
Odprite razdelek za usmerjanje v svojem odjemalcu VPN in videli boste dva različno oblikovana krmilnika, ki pogosto nosita isto oznako. Eden vas prosi, da naštejete cilje, ki spadajo v tunel, vse drugo pa še naprej uporablja lokalno omrežje. Drugi predpostavlja, da gre vse skozi tunel, in sprašuje, kaj je treba izrezati nazaj. Oba dajeta delujoč tunel že pri prvem preizkusu in oba se vzdržujeta z dodajanjem vrstic na seznam, zato razlika ostane nevidna, dokler nekdo ne namesti nečesa novega.
Izbira je privzeta nastavitev, ne funkcija. Določite jo, preden ima seznam dvajset vnosov.
Privzeto nastavitev preberite na odjemalcu, ne v brošuri
WireGuard naredi odločitev nenavadno vidno, ker je AllowedIPs seznam vključitev in nič drugega. Peer s 0.0.0.0/0, ::/0 tunelira vse; peer s 10.20.0.0/16 tunelira samo to. Sintakse izključitve ni, zato morate, če želite eno podomrežje pustiti zunaj, bodisi našteti vse druge predpone bodisi dodati usmerjanje pravil zunaj vmesnika.
OpenVPN pride na isto mesto z druge strani: redirect-gateway def1 namesti polni tunel, izrecne direktive route pa dodajajo ali prepisujejo določene predpone. Komercialni odjemalci oboje običajno skrijejo za potrditveno polje in tabelo ciljev, zato preberite, katerega od teh dveh tabela v resnici ureja, preden zaupate oznaki.
Vprašanje ni, kako se imenuje potrditveno polje. Vprašanje je, kaj se zgodi s paketom, katerega cilj ni na nobenem od obeh seznamov. Odgovorite na to pisno in preostala konfiguracija izhaja iz tega. Če vprašanje preskočite, bo o prvi nerazloženi napaki odločil tisti, ki tistega dne sedi najbližje odjemalcu.
Sledite aplikaciji, ki je nihče ni dodal
V zasnovi samo z vključitvijo gre ta aplikacija neposredno, po lokalnem omrežju, z lokalnim DNS. V zasnovi samo z izključitvijo gre skozi tunel, kolikor strežnik dovoli, in to je pogosto razlika med novim orodjem SaaS, ki deluje prvi dan, in zahtevkom, da ga je VPN pokvaril.
Nobena od obeh privzetih nastavitev ni sama po sebi varnejša. Vključitev zoži, kaj tunel prenaša, in naredi lokalno omrežje pot najmanjšega odpora; izključitev vzame tunel kot običajno pot in izjeme obravnava kot izjeme, kar je bližje temu, kar ima večina podjetniških pravil v resnici v mislih.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Bodite pozorni, kakšno vrsto predmeta platforma našteva
Element VpnService.Builder v Androidu ponuja seznam dovoljenih in seznam prepovedanih aplikacij kot dva ločena modela, pravila za posamezno aplikacijo pa izbirajo po paketu in ne po cilju. Brskalnik na takem seznamu nosi vsak cilj, ki ga odpre, kar je drugačna zrnatost od usmerjevalne tabele in ne more popraviti ene same pokvarjene strani znotraj delujoče aplikacije.
Namizni odjemalci običajno mešajo obe vrsti v enem vmesniku, zato preverite, ali je vrstica, ki jo dodajate, paket, ime gostitelja ali predpona. Spodletijo na različne načine in rešujejo se na različnih mestih. Vrstica z imenom gostitelja običajno postane pot plus ime, medtem ko vrstica s paketom postane odločitev pravil znotraj odjemalca. Zapišite, katero od obeh ste dodali, ker bo tisti, ki bo to pozneje odpravljal, predpostavil drugo.
Preizkusite stanje napake, ne samo srečne poti
Aplikacija, izključena iz tunela, ne dobi samodejno čistega neposrednega dostopa. Če odjemalec poleg tega uveljavlja pravilo, ki brez VPN blokira, je izključeni promet lahko v celoti zavržen, kar je videti kot pokvarjena aplikacija in ne kot odločitev usmerjanja. Preizkusite ta primer namerno, namesto da bi zanj izvedeli iz uporabniškega poročila.
Nato preverite DNS in IPv6 kot ločeni točki. Tunel, ki prenaša samo IPv4, pusti aplikaciji, sposobni za v6, pot okoli njega, razdeljeni DNS pa odloča, ali se notranja imena razrešujejo za promet, ki sploh ne gre skozi tunel. Zaženite aplikacijo s seznama, aplikacijo, ki ni na seznamu, poizvedbo imena in eno ponovno povezavo, rezultate pa shranite skupaj s konfiguracijo.
Privzeto nastavitev zapišite tja, kjer jo bo našla naslednja oseba
Zabeležite izbrano privzeto nastavitev, izjeme in kdo je zanje odgovoren na isto mesto kot profil odjemalca, ker bo naslednji skrbnik dodal vnos, ne da bi prebral to utemeljitev. Zabeležite datum in razlog vsake izjeme, da bo zastarelo izjemo za spletno mesto, ki je bilo medtem popravljeno, mogoče z gotovostjo odstraniti. Seznam brez razlogov raste v nedogled.
Ko nekdo prijavi en sam pokvarjen cilj, spremenite izjemo in ne osnovne črte. Obrnitev privzete nastavitve, da bi popravili eno spletno mesto, tiho prestavi vsako aplikacijo, ki ni na seznamu, na drugo stran tunela.