ข้อยกเว้น VPN สําหรับ LAN ที่บ้านบน Android: คู่มือปฏิบัติสําหรับบริการเดียว

คุณต้องการให้บริการในบ้านหนึ่งรายการเข้าถึงได้ ขณะที่ VPN ยังมีผลกับอย่างอื่นทั้งหมด การตั้งค่าที่ชวนทําคือการยกเว้นเส้นทางภายในที่ครอบคลุมทุกที่อยู่ส่วนตัว และนั่นคือการควบคุมที่ผิด: ในเครือข่ายโรงแรมหรือร้านคาเฟ่ครั้งหน้า มันอาจเปลี่ยนสิ่งที่ตอบสนองให้กลายเป็นช่องทางข้ามได้ คู่มือนี้จํากัดข้อยกเว้นให้อยู่ที่บริการเดียวและพิสูจน์มันภายใต้การเปลี่ยนสภาพที่ทําให้มันพัง

นิยามข้อยกเว้นเป็นบริการ ไม่ใช่ซับเน็ต

บันทึกแอป ชื่อโฮสต์และที่อยู่ปลายทาง โปรโตคอลและพอร์ต เครือข่ายที่อนุญาต และการตรวจสอบตัวตนที่บริการนั้นทําเอง สําหรับ NAS ที่ต้องยืนยันตัวตน ใบรับรองหรือบัญชีคือสิ่งที่พิสูจน์ว่าคุณไปถึงเครื่องที่ถูกต้อง ที่อยู่ใน 192.168.0.0/16 ไม่ได้พิสูจน์อะไร เพราะเราเตอร์บ้านทุกรุ่นแจกคํานําหน้าเดียวกัน

อีกทั้งต้องตัดสินว่าใกล้หมายถึงอะไร บริการบน VLAN ที่มีเส้นทางเดินไม่ได้อยู่บนซับเน็ตที่โทรศัพท์เชื่อมต่อโดยตรง และ Wi-Fi สําหรับแขกอาจใช้คํานําหน้าส่วนตัวเดียวกับที่บ้านทั้งที่เป็นเครื่องคนละเครื่องโดยสิ้นเชิง ข้อยกเว้นควรระบุชื่อบริการและสภาพแวดล้อม ไม่ใช่แค่ช่วงที่อยู่

ยืนยันว่าการควบคุมของแพลตฟอร์มตรงกับความต้องการ

ตัวสร้างโปรไฟล์ Android IKEv2 เปิดให้ใช้ setLocalRoutesExcluded(true) และเอกสารของมันกําหนดให้ต้องใช้ VPN ที่ข้ามได้: การยกเว้นจะมีความหมายก็ต่อเมื่อไคลเอนต์ยอมให้ทราฟฟิกข้ามอุโมงค์ เอกสารเดียวกันยังเตือนว่าเครือข่ายพื้นฐานอาจส่งเส้นทางที่กระทบการยกเว้น ซึ่งเป็นเหตุผลที่การตั้งค่านี้ตามเครือข่ายที่คุณเชื่อมต่อ ไม่ใช่เครือข่ายที่คุณไว้วางใจ

และมันไม่ได้สัญญาว่าทุกการกําหนดค่าล็อกดาวน์หรือการจัดการจะยอมให้ผู้ใช้เปิดข้อยกเว้นเดียวกัน การยกเว้นเส้นทาง แฟล็กการข้ามได้ และนโยบายบล็อกของอุปกรณ์เป็นกลไกแยกจากกัน และอุปกรณ์ที่ถูกจัดการอาจห้ามข้อที่สามขณะที่อนุญาตสองข้อแรก ตรวจสอบโปรไฟล์ที่ติดตั้งและนโยบายการจัดการก่อนออกแบบโดยอิงช่องทําเครื่องหมาย

คู่มือปฏิบัติ: สร้างและใช้ข้อยกเว้น

ขั้นที่ 1: สร้างโปรไฟล์ผ่านเส้นทางที่รองรับสําหรับการติดตั้งใช้งาน ไม่ว่าจะเป็นการกําหนดค่าที่ถูกจัดการหรือตัวสร้างของไคลเอนต์ ขั้นที่ 2: ทําเครื่องหมายว่า VPN ข้ามได้ เพราะการยกเว้นเส้นทางภายในจะไม่มีผลหากไม่มีสิ่งนี้ ขั้นที่ 3: เปิดการยกเว้นเส้นทางภายใน ขั้นที่ 4: คงการยืนยันตัวตนและการตรวจสอบใบรับรองของบริการไว้ ข้อยกเว้นเป็นเรื่องของการกําหนดเส้นทาง ไม่ใช่ความไว้วางใจ ขั้นที่ 5: บันทึกและเชื่อมต่อใหม่เพื่อให้โปรไฟล์มีผล

การย้อนกลับใช้เส้นทางเดิมย้อนศร: ล้างข้อยกเว้น แล้วล้างการข้ามได้ แล้วเชื่อมต่อใหม่ อย่าแก้เส้นทางหรือฮุกไฟร์วอลล์บนอุปกรณ์โดยตรง เดมอนเครือข่ายเป็นเจ้าของกฎเหล่านั้น และกฎที่ทําด้วยมืออาจพลาดตระกูลที่อยู่อีกตระกูล การเชื่อมต่อใหม่ หรือการเปลี่ยนเครือข่าย หากการกําหนดค่าที่ติดตั้งไม่สามารถแสดงนโยบายนี้ได้ ให้คงการบล็อกที่เข้มงวดกว่าไว้จนกว่าเจ้าของจะอนุมัติการออกแบบอื่น

ทดสอบสี่กรณีที่สําคัญ

ใช้คําขอที่ไม่เป็นอันตรายและจดผลลัพธ์ที่คาดไว้ก่อนรันแต่ละกรณี ตารางด้านล่างคือการทดสอบการยอมรับ ไม่ใช่ข้อเสนอแนะ: หากกรณีที่ควรถูกปฏิเสธสําเร็จได้ ข้อยกเว้นก็กว้างกว่านโยบาย

กรณีที่ 3 คือกรณีที่จับการข้ามซับเน็ตส่วนตัวแบบกว้าง และกรณีที่ 4 จับไคลเอนต์ที่ใช้ข้อยกเว้นเฉพาะตอนเชื่อมต่อ รันกรณีที่ 4 ขณะ VPN ถูกตัดและขณะย้ายโทรศัพท์ไปเซลลูลาร์ แล้วเชื่อมต่อใหม่และยืนยันว่าข้อยกเว้นกลับมาโดยไม่ต้องรีบูต เอกสารอ้างอิง API เส้นทางภายใน ระบุข้อกําหนดการข้ามได้ซึ่งทําให้ขั้นที่ 2 เลือกข้ามไม่ได้

บันทึกข้อยกเว้นและทบทวน

บันทึกที่ดูแลอย่างต่อเนื่องควรระบุชื่อบริการ สภาพแวดล้อมที่ทําให้ต้องมีข้อยกเว้น เจ้าของ และวันที่ คําว่าในบ้านอธิบายความสัมพันธ์ในการกําหนดเส้นทาง ไม่ใช่ระดับความไว้วางใจ และเครือข่ายถัดไปที่โทรศัพท์เชื่อมต่อไม่ใช่เครือข่ายที่อนุมัติข้อยกเว้น

ทบทวนบันทึกหลังอัปเดตระบบปฏิบัติการ อัปเดตไคลเอนต์ หรือการย้ายที่อยู่ รันกรณีที่ 3 ซ้ําทุกครั้งที่ต่ออายุข้อยกเว้น เพราะโปรไฟล์ที่เคยจํากัดการข้ามไว้ที่บริการเดียวอาจถูกขยายได้ด้วยการเปลี่ยนค่าเริ่มต้นเพียงครั้งเดียว