Изузеће VPN-а за кућни LAN на Android-у: приручник за једну услугу

Желите да једна кућна услуга буде доступна док VPN остаје на снази за све остало. Примамљива поставка је изузеће локалне руте које покрива сваку приватну адресу, и то је погрешна контрола: на следећој хотелској или кафићкој мрежи може претворити све што одговори у заобилазницу. Овај приручник своди изузеће на једну услугу и доказује га под прелазима који га ломе.

Дефинишите изузеће као услугу, не као подмрежу

Забележите апликацију, име хоста и адресу одредишта, протокол и порт, мрежу у којој је дозвољено и проверу идентитета коју спроводи сама услуга. На NAS-у са аутентификацијом сертификат или налог доказује да сте стигли на праву машину. Адреса у 192.168.0.0/16 не доказује ништа, јер сваки кућни рутер дели исте префиксе.

Одредите и шта значи близу. Услуга на рутираном VLAN-у није на подмрежи на коју је телефон директно повезан, а гостујући Wi-Fi може делити исти приватни префикс са домом и притом бити сасвим друга машина. Изузеће треба да именује услугу и окружење, не само опсег адреса.

Проверите да ли контрола платформе одговара захтеву

Градитељ IKEv2 профила на Android-у излаже setLocalRoutesExcluded(true), а његова документација захтева VPN који се може заобићи: изузеће има смисла само када клијент дозвољава саобраћају да заобиђе тунел. Иста документација упозорава да основна мрежа може доставити руте које утичу на изузеће, зато поставка прати мрежу којој се придружујете, а не мрежу којој верујете.

То такође није обећање да ће свако закључавање или управљана конфигурација дозволити кориснику да укључи исто изузеће. Изузеће руте, заставица заобилазности и политика блокирања уређаја су одвојене контроле, а управљани уређај може забранити трећу док дозвољава прве две. Проверите инсталирани профил и политику управљања пре него што дизајнирате око квадратића.

Приручник: изградите и примените изузеће

Корак 1: направите профил подржаним путем за примену, било управљану конфигурацију било градитеља клијента. Корак 2: означите VPN као заобилазан, јер изузеће локалне руте без тога не делује. Корак 3: укључите изузеће локалне руте. Корак 4: задржите сопствену аутентификацију услуге и проверу сертификата укљученима; изузеће се тиче рутирања, не поверења. Корак 5: сачувајте и поново се повежите да би се профил применио.

Враћање је исти пут обрнутим редоследом: очистите изузеће, затим очистите заобилазност, затим се поново повежите. Не крпите руту ни куку ватрозида директно на уређају. Мрежни демон поседује та правила, а ручно правило може пропустити другу породицу адреса, поновно повезивање или мрежни прелаз. Ако инсталирана конфигурација не може да изрази политику, задржите строку блокаду док власник не одобри други дизајн.

Тестирајте четири важна случаја

Користите безопасне захтеве и запишите очекивани резултат пре покретања сваког случаја. Матрица испод је прихватни тест, не предлог: ако било који забрањени случај успе, изузеће је шире од политике.

Случај 3 хвата широку заобилазницу приватне подмреже, а случај 4 хвата клијента који је изузеће применио само при повезивању. Покрените случај 4 са искљученим VPN-ом и телефоном пребаченим на мобилну мрежу, затим се поново повежите и потврдите да се изузеће враћа без рестарта. Референца API-ја локалне руте наводи захтев заобилазности који корак 2 чини обавезним.

Забележите изузеће и прегледајте га

Одржавани запис треба да именује услугу, окружење које га је оправдало, власника и датум. Локално описује однос рутирања, не ниво поверења, а следећа мрежа којој се телефон придружи није мрежа у којој је изузеће одобрено.

Прегледајте запис после ажурирања ОС-а, ажурирања клијента или пресељења. Поново покрените случај 3 кад год се изузеће обнови, јер профил који је једном свео заобилазницу на једну услугу може бити проширен једном променом подразумеване вредности.