Pagbubukod sa VPN para sa LAN ng bahay sa Android: gabay para sa isang serbisyo
Ibukod lamang ang serbisyo sa bahay na inaprubahan mo, hindi ang lahat ng pribadong ruta. Isulat ang patakaran, gumamit ng VPN na maaaring laktawan, pagkatapos ay subukan ang pagpalya ng network ng mga bisita.
Gusto mong maabot ang isang serbisyo sa bahay habang nananatiling may bisa ang VPN para sa lahat ng iba. Ang nakakaakit na setting ay isang pagbubukod sa lokal na ruta na sumasaklaw sa bawat pribadong address, at iyon ang maling kontrol: sa susunod na network ng hotel o cafe, maaari nitong gawing daan ng paglalabag ang anumang tumutugon. Nililimitahan ng gabay na ito ang pagbubukod sa isang serbisyo at pinatutunayan ito sa ilalim ng mga paglipat na sumisira dito.
Itakda ang pagbubukod bilang serbisyo, hindi bilang subnet
Itala ang app, ang hostname at address ng destinasyon, ang protocol at port, ang network kung saan pinapayagan, at ang pagsusuri ng pagkakakilanlan na ginagawa ng serbisyo mismo. Sa isang NAS na may authentication, ang sertipiko o account ang nagpapatunay na naabot mo ang tamang makina. Ang address sa 192.168.0.0/16 ay walang pinatutunayan, dahil ang bawat router sa bahay ay namamahagi ng parehong mga prefix.
Magpasya rin kung ano ang ibig sabihin ng malapit. Ang serbisyo sa isang naka-route na VLAN ay wala sa subnet na direktang konektado sa telepono, at ang Wi-Fi ng bisita ay maaaring magbahagi ng parehong pribadong prefix sa bahay habang isang ganap na ibang makina. Dapat pangalanan ng pagbubukod ang serbisyo at ang kapaligiran, hindi lamang ang hanay ng address.
Tiyakin na ang kontrol ng platform ay umaangkop sa pangangailangan
Ang IKEv2 profile builder ng Android ay naglalantad ng setLocalRoutesExcluded(true), at ang dokumentasyon nito ay nangangailangan ng VPN na maaaring laktawan: may saysay lamang ang pagbubukod kapag pinapayagan ng client ang trapiko na laktawan ang tunnel. Ang parehong dokumentasyon ay nagbabala na ang pinagbabatayang network ay maaaring magbigay ng mga rutang nakakaapekto sa pagbubukod, kaya sinusunod ng setting ang network na pinapasok mo, hindi ang network na pinagkakatiwalaan mo.
Hindi rin ito pangako na papayagan ng bawat lockdaw o pinamamahalaang configuration ang user na i-on ang parehong pagbubukod. Ang pagbubukod sa ruta, ang flag ng paglalaktaw, at ang patakaran sa pagharang ng device ay magkakahiwalay na kontrol, at maaaring ipagbawal ng pinamamahalaang device ang pangatlo habang pinapayagan ang unang dalawa. Suriin ang naka-install na profile at ang patakaran sa pamamahala bago magdisenyo sa paligid ng isang checkbox.
Gabay: buuin at ilapat ang pagbubukod
Hakbang 1: gumawa ng profile sa sinusuportahang landas para sa deployment, alinman sa pinamamahalaang configuration o sa client builder. Hakbang 2: markahan ang VPN bilang maaaring laktawan, dahil hindi gumagana ang pagbubukod sa lokal na ruta kung wala ito. Hakbang 3: i-on ang pagbubukod sa lokal na ruta. Hakbang 4: iwanang naka-on ang sariling authentication ng serbisyo at ang validation ng sertipiko; ang pagbubukod ay tungkol sa routing, hindi sa tiwala. Hakbang 5: i-save at muling kumonekta upang mailapat ang profile.
Ang pag-rollback ay ang parehong landas sa kabaligtaran: i-clear ang pagbubukod, pagkatapos i-clear ang paglalaktaw, pagkatapos ay muling kumonekta. Huwag i-patch ang isang ruta o firewall hook nang direkta sa device. Pagmamay-ari ng network daemon ang mga panuntunang iyon, at ang manu-manong panuntunan ay maaaring makaligtaan ng ibang pamilya ng address, isang muling pagkonekta, o isang paglipat ng network. Kung hindi maipahayag ng naka-install na configuration ang patakaran, panatilihin ang mas mahigpit na pagharang hanggang aprubahan ng may-ari ang ibang disenyo.
Subukan ang apat na kaso na mahalaga
Gumamit ng hindi nakakasamang mga kahilingan at isulat ang inaasahang resulta bago patakbuhin ang bawat kaso. Ang matrix sa ibaba ay ang pagsubok sa pagtanggap, hindi suhestiyon: kung magtagumpay ang anumang tinanggihang kaso, ang pagbubukod ay mas malawak kaysa sa patakaran.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
Ang kaso 3 ang humuhuli sa malawak na paglalabag sa pribadong subnet, at ang kaso 4 ay humuhuli sa client na inilapat ang pagbubukod sa oras ng pagkonekta lamang. Patakbuhin ang kaso 4 na nakadiskonekta ang VPN at inilipat ang telepono sa cellular, pagkatapos ay muling kumonekta at tiyakin na bumabalik ang pagbubukod nang walang reboot. Isinasaad ng reference ng lokal na ruta API ang pangangailangan sa paglalaktaw na gumagawa sa hakbang 2 na hindi opsyonal.
Itala ang pagbubukod at suriin ito
Dapat pangalanan ng pinapanatiling talaan ang serbisyo, ang kapaligirang nagbigay-katwiran dito, ang may-ari, at ang petsa. Inilalarawan ng lokal ang isang ugnayan sa routing, hindi isang antas ng tiwala, at ang susunod na network na papasukan ng telepono ay hindi ang network kung saan inaprubahan ang pagbubukod.
Suriin ang talaan pagkatapos ng update ng OS, update ng client, o paglipat. Patakbuhin muli ang kaso 3 sa tuwing mababago ang pagbubukod, dahil ang profile na minsang naglimita sa paglalabag sa isang serbisyo ay maaaring palawakin ng isang pagbabago sa default.