Само укључивање или само искључивање подељеног тунела: шта је подразумевано?
Изаберите подразумевано пре него што направите листу: тунелирајте само оно што наведете или тунелирајте све и изрежите изузетке. Затим тестирајте апликацију коју нико није навео.
Отворите одељак за рутирање у VPN клијенту и видећете два различито обликована елемента који често носе исту ознаку. Један тражи да наведете одредишта која припадају тунелу, а све остало наставља да користи локалну мрежу. Други претпоставља да све иде кроз тунел и пита шта треба изрезати назад. Оба дају тунел који ради на првом тесту и оба се одржавају додавањем редова у листу, због чега разлика остаје невидљива док неко не инсталира нешто ново.
Ово је избор подразумеваног, а не функција. Решите то пре него што листа буде имала двадесет ставки.
Прочитајте подразумевано из клијента, а не из брошуре
Код WireGuard-а је ова одлука необично видљива, јер AllowedIPs јесте листа укључивања и ништа више. Пар са 0.0.0.0/0, ::/0 тунелира све, а пар са 10.20.0.0/16 тунелира само ту мрежу. Синтаксе за искључивање нема, па ако желите да једна подмрежа остане напољу, морате или да набројите све остале префиксе или да додате политичко рутирање изван интерфејса.
OpenVPN долази до истог места са супротне стране: redirect-gateway def1 поставља пун тунел, а посебне route директиве додају или преписују одређене префиксе. Комерцијални клијенти обично крију оба иза поља за потврду и табеле одредишта, па прочитајте које од њих табела заиста уређује пре него што поверујете ознаци.
Питање није како се поље за потврду зове. Питање је шта се дешава са пакетом чије одредиште није на ниједној листи. Одговорите на то писмено и остатак конфигурације следи из одговора. Прескочите питање и први необјашњени квар решиће онај ко је тог дана најближи клијенту.
Пратите апликацију коју нико није навео
У шеми само са укључивањем та апликација иде директно, преко локалне мреже и локалног DNS-а. У шеми само са искључивањем иде кроз тунел, у мери у којој сервер дозвољава, и управо ту често лежи разлика између тога да ли нови SaaS алат ради првог дана или стиже тикет да га је VPN покварио.
Ниједно подразумевано није само по себи безбедније. Само укључивање сужава шта тунел носи и чини локалну мрежу путем најмањег отпора, а само искључивање узима тунел као нормалан пут и третира изузетке као изузетке, што је ближе ономе што већина корпоративних политика заиста има на уму.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Обратите пажњу које врсте објеката платформа наводи
VpnService.Builder на Android-у излаже листу дозвољених апликација и листу забрањених апликација као два одвојена модела, а правила по апликацији бирају по пакету, а не по одредишту. Прегледач стављен у такву листу носи са собом свако одредиште које отвори, што је другачија гранулација од табеле рута и не може да поправи један покварен сајт унутар апликације која ради.
Десктоп клијенти обично мешају обе врсте у једном интерфејсу, па проверите да ли је ред који додајете пакет, име хоста или префикс. Они отказују на различите начине и решавају се на различитим местима. Ред са именом хоста обично постаје рута плус име, а ред са пакетом постаје одлука политике унутар клијента. Запишите шта сте додали, јер ће онај ко касније буде тражио грешку претпоставити оно друго.
Тестирајте стање квара, а не само добар пут
Апликација изузета из тунела не добија аутоматски чист директан приступ. Ако клијент још примењује и правило блокирања без VPN-а, изузети саобраћај може бити потпуно одбачен, а то изгледа као покварена апликација, а не као одлука рутирања. Тестирајте тај случај намерно, уместо да га откријете из пријаве корисника.
Затим проверите DNS и IPv6 као одвојене ставке. Тунел који носи само IPv4 оставља апликацији способној за v6 пут око њега, а split DNS одређује да ли се унутрашња имена решавају за саобраћај који уопште не иде кроз тунел. Покрените апликацију са листе, апликацију које нема на листи, једну претрагу имена и једно поновно повезивање, и чувајте резултате уз конфигурацију.
Запишите подразумевано тамо где ће га наћи следећи
Запишите изабрано подразумевано, изузетке и њиховог власника на исто место где је профил клијента, јер ће следећи администратор додати ставку без читања овог образложења. Забележите датум и разлог сваког изузетка, да би застарело изузимање за сајт који је у међувремену поправљен могло да се уклони са сигурношћу. Листа без разлога расте бескрајно.
Када неко пријави једно покварено одредиште, мењајте изузетак, а не основу. Преокретање подразумеваног да би се поправио један сајт тихо премешта све апликације којих нема на листи на другу страну тунела.