VPN-undantag för hemmanätverket på Android: en körbok för en enda tjänst

Du vill att en hemmatjänst ska vara nåbar medan VPN gäller för allt annat. Den frestande inställningen är ett undantag för den lokala rutten som täcker varje privat adress, och det är fel kontroll: i nästa hotell- eller kafénätverk kan den göra vad som helst som svarar till en omväg. Den här körboken avgränsar undantaget till en enda tjänst och bevisar det under de övergångar som bryter det.

Definiera undantaget som en tjänst, inte som ett subnet

Anteckna appen, värdnamnet och adressen för målet, protokollet och porten, nätet där det är tillåtet och den identitetskontroll som tjänsten själv utför. På ett NAS med autentisering är det certifikatet eller kontot som bevisar att du nådde rätt maskin. En adress i 192.168.0.0/16 bevisar ingenting, eftersom varje hemrouter delar ut samma prefix.

Bestäm också vad nära betyder. En tjänst på ett routat VLAN ligger inte på subnätet som telefonen är direkt ansluten till, och ett gäst-Wi-Fi kan dela samma privata prefix som hemmet och ändå vara en helt annan maskin. Undantaget bör namnge tjänsten och miljön, inte bara adressområdet.

Bekräfta att plattformskontrollen passar kravet

Androids IKEv2-profilbyggare exponerar setLocalRoutesExcluded(true), och dess dokumentation kräver en VPN som kan kringgås: undantaget är bara meningsfullt när klienten låter trafiken gå förbi tunneln. Samma dokumentation varnar för att det underliggande nätet kan leverera rutter som påverkar undantaget, därför följer inställningen nätet du ansluter till, inte nätet du litar på.

Det är inte heller ett löfte att varje låsning eller hanterad konfiguration låter användaren slå på samma undantag. Ruttundantag, kringgåendeflaggan och enhetens blockeringspolicy är separata kontroller, och en hanterad enhet kan förbjuda den tredje medan den tillåter de två första. Kontrollera den installerade profilen och hanteringspolicyn innan du designar runt en kryssruta.

Körbok: bygg och tillämpa undantaget

Steg 1: skapa profilen via den stödda vägen för utrullningen, antingen den hanterade konfigurationen eller klientbyggaren. Steg 2: markera VPN som kringgåelig, eftersom undantaget för den lokala rutten inte verkar utan det. Steg 3: slå på undantaget för den lokala rutten. Steg 4: låt tjänstens egen autentisering och certifikatvalidering vara på; undantaget handlar om routing, inte om tillit. Steg 5: spara och återanslut så att profilen tillämpas.

Återställningen är samma väg baklänges: rensa undantaget, rensa sedan kringgåeligheten och återanslut. Lappa inte en rutt eller en brandväggskrok direkt på enheten. Nätverksdemon äger dessa regler, och en manuell regel kan missa en annan adressfamilj, en återanslutning eller en nätverksövergång. Om den installerade konfigurationen inte kan uttrycka policyn, behåll den strängare blockeringen tills ägaren godkänner en annan design.

Testa de fyra fall som spelar roll

Använd ofarliga förfrågningar och skriv ned det förväntade resultatet innan du kör varje fall. Matrisen nedan är acceptanstestet, inte ett förslag: om något nekat fall lyckas är undantaget bredare än policyn.

Fall 3 är det som fångar en bred omväg över ett privat subnet, och fall 4 fångar en klient som bara tillämpade undantaget vid anslutning. Kör fall 4 med VPN frånkopplat och telefonen flyttad till mobilnätet, återanslut sedan och bekräfta att undantaget återkommer utan omstart. API-referensen för den lokala rutten anger kringgåelighetskravet som gör steg 2 obligatoriskt.

Registrera undantaget och granska det

Den underhållna registreringen ska namnge tjänsten, miljön som motiverade den, ägaren och datumet. Lokal beskriver en routingrelation, inte en tillitsnivå, och nätet telefonen ansluter till härnäst är inte nätet där undantaget godkändes.

Granska registreringen efter en OS-uppdatering, en klientuppdatering eller en flytt. Kör fall 3 igen varje gång undantaget förnyas, eftersom en profil som en gång begränsade omvägen till en tjänst kan utökas med en enda standardändring.