Përjashtim VPN për LAN-in e shtëpisë në Android: udhëzues për një shërbim të vetëm
Përjashtoni vetëm shërbimin e shtëpisë që keni miratuar, jo të gjitha rrugët private. Shkruani politikën, përdorni një VPN që mund të anashkalohet dhe më pas testoni dështimin e rrjetit të mysafirëve.
Doni që një shërbim i shtëpisë të jetë i arritshëm ndërsa VPN mbetet në fuqi për gjithçka tjetër. Cilësimi joshës është përjashtimi i rrugës lokale që mbulon çdo adresë private, dhe ky është kontrolli i gabuar: në rrjetin tjetër të hotelit ose kafenesë mund ta kthejë në anashkalim çdo gjë që përgjigjet. Ky udhëzues e kufizon përjashtimin në një shërbim të vetëm dhe e provon në tranzicionet që e thyejnë.
Përcaktoni përjashtimin si shërbim, jo si nënrrjet
Shënoni aplikacionin, emrin e hostit dhe adresën e destinacionit, protokollin dhe portin, rrjetin ku lejohet, dhe verifikimin e identitetit që bën vetë shërbimi. Në një NAS me autentikim, certifikata ose llogaria provon që keni arritur makinën e duhur. Një adresë në 192.168.0.0/16 nuk provon asgjë, sepse çdo router shtëpie shpërndan të njëjtat parashtesa.
Vendosni gjithashtu çfarë do të thotë afër. Një shërbim në një VLAN të rrugëzuar nuk është në nënrrjetin e lidhur drejtpërdrejt me telefonin, dhe një Wi-Fi mysafirësh mund të ndajë të njëjtën parashtesë private me shtëpinë ndërsa është një makinë krejtësisht tjetër. Përjashtimi duhet të emërtojë shërbimin dhe mjedisin, jo vetëm gamën e adresave.
Konfirmoni që kontrolli i platformës përshtatet me kërkesën
Ndërtuesi i profileve IKEv2 i Android zbulon setLocalRoutesExcluded(true), dhe dokumentacioni i tij kërkon një VPN që mund të anashkalohet: përjashtimi ka kuptim vetëm kur klienti lejon trafikun të kalojë tunelin. I njëjti dokumentacion paralajmëron se rrjeti bazë mund të ofrojë rrugë që ndikojnë në përjashtim, prandaj cilësimi ndjek rrjetin ku futeni, jo rrjetin që i besoni.
Nuk është as premtim se çdo bllokim ose konfigurim i menaxhuar do ta lejojë përdoruesin të aktivizojë të njëjtin përjashtim. Përjashtimi i rrugës, flamuri i anashkalueshmërisë dhe politika e bllokimit të pajisjes janë kontrolle të veçanta, dhe një pajisje e menaxhuar mund të ndalojë të tretën ndërsa lejon dy të parat. Kontrolloni profilin e instaluar dhe politikën e menaxhimit përpara se të projektoni rreth një kutie zgjedhjeje.
Udhëzues: ndërtoni dhe zbatoni përjashtimin
Hapi 1: krijoni profilin nëpërmjet rrugës së mbështetur për vendosjen, ose konfigurimin e menaxhuar ose ndërtuesin e klientit. Hapi 2: shënoni VPN si të anashkalueshëm, sepse përjashtimi i rrugës lokale nuk është i efektshëm pa të. Hapi 3: aktivizoni përjashtimin e rrugës lokale. Hapi 4: lini të aktivizuara autentikimin e shërbimit dhe vlerësimin e certifikatës; përjashtimi ka të bëjë me rrugëzimin, jo me besimin. Hapi 5: ruani dhe rilidhuni që profili të zbatohet.
Kthimi mbrapa është e njëjta rrugë në rend të kundërt: pastroni përjashtimin, pastaj pastroni anashkalueshmërinë, pastaj rilidhuni. Mos e arnoni një rrugë ose grepin e murit të zjarrit drejtpërdrejt në pajisje. Daemoni i rrjetit zotëron ato rregulla, dhe një rregull manual mund të humbasë një familje tjetër adresash, një rilidhje ose një tranzicion rrjeti. Nëse konfigurimi i instaluar nuk mund ta shprehë politikën, mbani bllokimin më të rreptë derisa pronari të miratojë një dizajn tjetër.
Provoni katër rastet që kanë rëndësi
Përdorni kërkesa të padëmshme dhe shënoni rezultatin e pritur përpara se të ekzekutoni çdo rast. Matrica më poshtë është testi i pranimit, jo një sugjerim: nëse ndonjë rast i refuzuar ka sukses, përjashtimi është më i gjerë se politika.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
Rasti 3 është ai që kap një anashkalim të gjerë të nënrrjetit privat, dhe rasti 4 kap një klient që e zbatoi përjashtimin vetëm në lidhje. Ekzekutoni rastin 4 me VPN të shkëputur dhe telefonin e zhvendosur në rrjetin celular, pastaj rilidhuni dhe konfirmoni se përjashtimi kthehet pa rindezje. Referenca e API-së së rrugës lokale përmend kërkesën e anashkalueshmërisë që e bën hapin 2 të detyrueshëm.
Regjistroni përjashtimin dhe rishikojeni
Regjistri i mbajtur duhet të emërtojë shërbimin, mjedisin që e justifikoi, pronarin dhe datën. Lokal përshkruan një marrëdhënie rrugëzimi, jo një nivel besimi, dhe rrjeti i ardhshëm ku futet telefoni nuk është rrjeti ku u miratua përjashtimi.
Rishikoni regjistrin pas një përditësimi të sistemit, një përditësimi të klientit ose një zhvendosjeje. Ekzekutoni përsëri rastin 3 sa herë që përjashtimi rinovohet, sepse një profil që dikur e kufizoi anashkalimin në një shërbim mund të zgjerohet me një ndryshim të vetëm parazgjedhur.