Vetëm përfshirje apo vetëm përjashtim: cila parazgjedhje?
Zgjidh parazgjedhjen përpara se të ndërtosh listën: tunelo vetëm atë që emërton, ose tunelo gjithçka dhe hiq përjashtimet. Më pas testo aplikacionin që askush nuk e kishte shtuar.
Hap seksionin e rrugëtimit të klientit tënd VPN dhe po shikon dy kontrolle me forma të ndryshme që shpesh mbajnë të njëjtën etiketë. Njëri të kërkon të listosh destinacionet që i përkasin tunelit, dhe çdo gjë tjetër vazhdon të përdorë rrjetin lokal. Tjetri supozon se gjithçka kalon nga tuneli dhe pyet çfarë duhet hequr. Të dy të japin një tunel funksional në provën e parë, dhe të dy mirëmbahen duke shtuar rreshta në një listë, prandaj dallimi mbetet i padukshëm derisa dikush instalon diçka të re.
Zgjedhja është një parazgjedhje, jo një funksion. Vendose përpara se lista të ketë njëzet zëra.
Lexo parazgjedhjen te klienti, jo te broshura
WireGuard e bën vendimin jashtëzakonisht të dukshëm, sepse AllowedIPs është një listë përfshirjeje dhe asgjë tjetër. Një peer me 0.0.0.0/0, ::/0 tunelon gjithçka; një peer me 10.20.0.0/16 tunelon vetëm atë. Nuk ka sintaksë përjashtimi, ndaj nëse do të lësh jashtë një nënrrjet, duhet ose të numërosh të gjitha prefikset e tjera, ose të shtosh rrugëtim politikash jashtë ndërfaqes.
OpenVPN arrin në të njëjtin vend nga ana tjetër, me redirect-gateway def1 që instalon një tunel të plotë dhe direktiva route të shprehura që shtojnë ose mbivendosin prefikse të caktuara. Klientët komercialë zakonisht i fshehin të dy pas një kuti zgjedhjeje dhe një tabele destinacionesh, ndaj lexo cila nga të dyja redaktohet vërtet nga tabela përpara se t'i besosh etiketës.
Pyetja nuk është si quhet kutia e zgjedhjes. Pyetja është çfarë ndodh me një paketë destinacioni i së cilës nuk shfaqet në asnjërën nga dy listat. Përgjigju me shkrim, dhe pjesa tjetër e konfigurimit rrjedh prej aty. Nëse e kalon pyetjen, dështimin e parë të pashpjeguar do ta vendosë kush ndodhet atë ditë më afër klientit.
Ndiq një aplikacion që askush nuk e shtoi
Në një skemë vetëm me përfshirje, ai aplikacion shkon direkt, në rrjetin lokal, me DNS-në lokale. Në një skemë vetëm me përjashtim, kalon nga tuneli, sipas asaj që lejon serveri, dhe shpesh ky është dallimi mes një mjeti të ri SaaS që funksionon ditën e parë dhe një tikete që thotë se VPN-ja e prishi.
Asnjëra parazgjedhje nuk është më e sigurt në vetvete. Përfshirja kufizon atë që mbart tuneli dhe e bën rrjetin lokal rrugën e rezistencës më të vogël; përjashtimi e merr tunelin si rrugë normale dhe i trajton përjashtimet si përjashtime, çka është më afër asaj që shumica e politikave të korporatës synojnë në të vërtetë.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Vër re çfarë lloj objekti liston platforma
Komponenti VpnService.Builder i Android-it ekspozon një listë aplikacionesh të lejuara dhe një listë të ndaluara si dy modele të veçanta, dhe rregullat për aplikacion zgjedhin sipas paketës e jo sipas destinacionit. Një shfletues i vendosur në një listë të tillë mbart çdo destinacion që hap, çka është një nivel detajesh i ndryshëm nga një tabelë rrugëtimi dhe nuk mund të rregullojë një sit të prishur brenda një aplikacioni që funksionon.
Klientët e desktopit zakonisht i përziejnë të dy llojet në një ndërfaqe, ndaj kontrollo nëse rreshti që po shton është paketë, emër hosti apo prefiks. Dështojnë në mënyra të ndryshme dhe zgjidhen në vende të ndryshme. Një rresht emri hosti zakonisht bëhet rrugë plus emër, ndërsa një rresht pakete bëhet vendim politike brenda klientit. Shkruaj cilin prej të dyve shtove, sepse kush e korrigjon më vonë do të supozojë tjetrin.
Testo gjendjen e dështimit, jo vetëm rrugën e lumtur
Një aplikacion i përjashtuar nga tuneli nuk merr automatikisht akses të drejtpërdrejtë të pastër. Nëse klienti zbaton edhe një rregull që bllokon pa VPN, trafiku i përjashtuar mund të hidhet fare, çka duket si aplikacion i prishur dhe jo si vendim rrugëtimi. Testo atë rast me qëllim, në vend që ta mësosh nga një raport përdoruesi.
Më pas kontrollo DNS-në dhe IPv6-n si pika të veçanta. Një tunel që mbart vetëm IPv4 i lë një aplikacioni të aftë për v6 një rrugë anash, dhe DNS i ndarë vendos nëse emrat e brendshëm zgjidhen për trafik që nuk kalon fare nga tuneli. Ekzekuto një aplikacion në listë, një aplikacion jashtë liste, një kërkim emri dhe një rilidhje, dhe mbaji rezultatet me konfigurimin.
Shkruaje parazgjedhjen atje ku do ta gjejë personi tjetër
Regjistro parazgjedhjen e zgjedhur, përjashtimet dhe kush përgjigjet për to në të njëjtin vend me profilin e klientit, sepse administratori tjetër do të shtojë një zë pa e lexuar këtë arsyetim. Shëno datën dhe arsyen e çdo përjashtimi, që një përjashtim i vjetëruar për një sit të rregulluar ndërkohë të mund të hiqet me siguri. Një listë pa arsye rritet përgjithmonë.
Kur dikush raporton një destinacion të vetëm të prishur, ndrysho përjashtimin dhe jo vijën bazë. Kthimi i parazgjedhjes për të rregulluar një sit të vetëm i zhvendos në heshtje çdo aplikacion jashtë liste në anën tjetër të tunelit.