Msamaha wa VPN kwa LAN ya nyumbani kwenye Android: mwongozo wa huduma moja

Unataka huduma moja ya nyumbani ifikike wakati VPN inaendelea kutumika kwa kila kitu kingine. Mpangilio unaovutia ni msamaha wa njia ya ndani unaofunika kila anwani ya faragha, na huo ni udhibiti usiofaa: kwenye mtandao wa hoteli au kafe unaofuata unaweza kubadilisha chochote kinachojibu kuwa njia ya kupita. Mwongozo huu unapunguza msamaha hadi huduma moja na kuuthibitisha chini ya mabadiliko yanayouvunja.

Fafanua msamaha kama huduma, sio kama subnet

Andika programu, jina la mwenyeji na anwani ya mwisho, itifaki na bandari, mtandao unaoruhusiwa, na ukaguzi wa utambulisho ambao huduma yenyewe hufanya. Kwenye NAS iliyo na uthibitishaji, cheti au akaunti ndiyo inayothibitisha kuwa umefikia mashine sahihi. Anwani iliyo katika 192.168.0.0/16 haithibitishi chochote, kwa sababu kila router ya nyumbani husambaza viambishi sawa.

Amua pia maana ya karibu. Huduma kwenye VLAN iliyopitishwa haiko kwenye subnet iliyounganishwa moja kwa moja na simu, na Wi-Fi ya wageni inaweza kushiriki kiambishi cha faragha sawa na nyumbani huku ikiwa mashine tofauti kabisa. Msamaha unapaswa kutaja huduma na mazingira, sio aina mbalimbali za anwani pekee.

Thibitisha kuwa udhibiti wa jukwaa unalingana na hitaji

Kijenzi cha wasifu wa IKEv2 cha Android kinaonyesha setLocalRoutesExcluded(true), na nyaraka zake zinahitaji VPN inayoweza kupitwa: msamaha una maana tu wakati mteja anaruhusu trafiki kupita handaki. Nyaraka hizo hizo zinaonya kuwa mtandao wa msingi unaweza kutoa njia zinazoathiri msamaha, kwa hiyo mpangilio unafuata mtandao unaoingia, sio unaoamini.

Pia sio ahadi kwamba kila kufungwa au usanidi unaosimamiwa kutamruhusu mtumiaji kuwasha msamaha huo huo. Msamaha wa njia, bendera ya uwezo wa kupita, na sera ya kuzuia kifaa ni udhibiti tofauti, na kifaa kinachosimamiwa kinaweza kukataza cha tatu huku kikiruhusu viwili vya kwanza. Kagua wasifu uliosakinishwa na sera ya usimamizi kabla ya kubuni kuzunguka kisanduku cha kuchagua.

Mwongozo: jenga na tumia msamaha

Hatua 1: tengeneza wasifu kwa njia inayotumika kwa usambazaji, ama usanidi unaosimamiwa au kijenzi cha mteja. Hatua 2: weka alama VPN kama inayoweza kupitwa, kwa sababu msamaha wa njia ya ndani haufanyi kazi bila hiyo. Hatua 3: washa msamaha wa njia ya ndani. Hatua 4: acha uthibitishaji wa huduma yenyewe na uthibitisho wa cheti vikiwa washwa; msamaha unahusu uelekezaji, sio uaminifu. Hatua 5: hifadhi na unganisha upya ili wasifu utumike.

Kurudisha ni njia hiyo hiyo kwa mfuatano wa kinyume: futa msamaha, kisha futa uwezo wa kupita, kisha unganisha upya. Usibandike kiraka kwenye njia au ndoano ya ukuta wa moto moja kwa moja kwenye kifaa. Daemon ya mtandao inamiliki sheria hizo, na sheria ya mkono inaweza kukosa familia nyingine ya anwani, muunganisho upya au mabadiliko ya mtandao. Ikiwa usanidi uliosakinishwa hauwezi kueleza sera, weka kizuizi kikali zaidi hadi mmiliki aidhinishe muundo mwingine.

Jaribu kesi nne muhimu

Tumia maombi yasiyodhuru na uandike matokeo yanayotarajiwa kabla ya kuendesha kila kesi. Matrix iliyo hapa chini ni jaribio la kukubali, sio pendekezo: ikiwa kesi yoyote iliyokataliwa itafanikiwa, msamaha ni mpana kuliko sera.

Kesi 3 ndiyo inayonasa upitaji mpana wa subnet ya faragha, na kesi 4 inanasa mteja aliyetumia msamaha wakati wa kuunganisha pekee. Endesha kesi 4 ukiwa umeondoa VPN na simu imehamishwa kwenye mtandao wa simu, kisha unganisha upya na uthibitishe kuwa msamaha unarudi bila kuwasha upya. Rejea ya API ya njia ya ndani inataja sharti la uwezo wa kupita linalofanya hatua 2 kuwa ya lazima.

Rekodi msamaha na ukague

Rekodi inayodumishwa inapaswa kutaja huduma, mazingira yaliyoihalalisha, mmiliki na tarehe. Ndani inaeleza uhusiano wa uelekezaji, sio kiwango cha uaminifu, na mtandao unaofuata ambao simu itaingia sio mtandao ambao msamaha uliidhinishwa.

Kagua rekodi baada ya sasisho la OS, sasisho la mteja au uhamisho. Endesha kesi 3 tena kila msamaha unaposasishwa, kwa sababu wasifu uliowahi kupunguza upitaji hadi huduma moja unaweza kupanuliwa kwa mabadiliko moja ya chaguo-msingi.