Isama Lamang o Ibukod Lamang na Split Tunneling: Alin ang Default?
Piliin ang default bago buuin ang listahan: i-tunnel lamang ang pinangalanan mo, o i-tunnel ang lahat at iukit ang mga pagbubukod. Pagkatapos ay subukan ang app na walang nakalista.
Buksan ang seksyon ng pagruruta sa iyong VPN client at makikita mo ang dalawang kontrol na magkaiba ang hugis na kadalasang may isang label. Hinihiling ng isa na ilista mo ang mga patutunguhang dapat mapasama sa tunnel, at ang lahat ng iba ay patuloy na gumagamit ng lokal na network. Ipinapalagay ng isa pa na lahat ay dumadaan sa tunnel at itinatanong kung ano ang dapat iukit pabalik. Pareho silang nagbibigay ng gumaganang tunnel sa unang pagsubok at pareho silang pinapanatili sa pamamagitan ng pagdaragdag ng mga linya sa listahan, kaya nga nananatiling hindi nakikita ang pagkakaiba hanggang may mag-install ng bago.
Ito ay pagpili ng default, hindi isang tampok. Pagpasyahan ito bago magkaroon ng dalawampung entry ang listahan.
Basahin ang default mula sa client, hindi sa brochure
Sa WireGuard, ang desisyong ito ay hindi pangkaraniwang nakikita, dahil ang AllowedIPs ay listahan ng pagsasama at wala nang iba. Ang peer na may 0.0.0.0/0, ::/0 ay nagtu-tunnel ng lahat, samantalang ang peer na may 10.20.0.0/16 ay nagtu-tunnel lamang ng network na iyon. Walang sintaks ng pagbubukod, kaya kung gusto mong maiwan sa labas ang isang subnet, kailangan mong ilista ang lahat ng iba pang prefix o magdagdag ng patakarang pagruruta sa labas ng interface.
OpenVPN ay nakarating sa parehong lugar mula sa kabilang direksyon: ang redirect-gateway def1 ay naglalagay ng buong tunnel, at ang mga tahasang direktiba ng route ay nagdaragdag o nagsusulat muli ng partikular na prefix. Karaniwang itinatago ng mga komersyal na client ang dalawa sa likod ng checkbox at talahanayan ng patutunguhan, kaya basahin kung alin ang aktuwal na binabago ng talahanayan bago ka magtiwala sa label.
Ang tanong na dapat itanong ay hindi kung ano ang tawag sa checkbox. Ito ay kung ano ang nangyayari sa isang packet na ang patutunguhan ay wala sa alinmang listahan. Sagutin iyon nang nakasulat at ang natitirang configuration ay susunod mula roon. Laktawan ang tanong at ang unang hindi maipaliwanag na pagkabigo ay pagpapasyahan ng pinakamalapit sa client sa araw na iyon.
Sundan ang app na walang nakalista
Sa disenyong isama lamang, ang app na iyon ay direktang lumalabas, sa lokal na network at lokal na DNS. Sa disenyong ibukod lamang, ito ay dumadaan sa tunnel hanggang sa pinapayagan ng server, at dito madalas nakasalalay ang pagkakaiba ng bagong SaaS tool na gumagana sa unang araw at ng tikete na nagsasabing sinira ito ng VPN.
Wala sa alinmang default ang mas ligtas sa sarili nito. Pinapaliit ng isama lamang ang dinadala ng tunnel at ginagawang landas na may pinakamaliit na pagtutol ang lokal na network, samantalang ipinapalagay ng ibukod lamang na ang tunnel ang normal na landas at tinatrato ang mga pagbubukod bilang pagbubukod, na mas malapit sa sinasadyang tinutukoy ng karamihan ng patakarang pang-korporasyon.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Pansinin kung anong uri ng bagay ang inililista ng platform
Ang VpnService.Builder ng Android ay naglalantad ng listahan ng pinapayagang app at listahan ng ipinagbabawal na app bilang dalawang magkaibang modelo, at ang mga patakaran kada app ay pumipili ayon sa package at hindi ayon sa patutunguhan. Ang browser na inilagay sa gayong listahan ay nagdadala ng bawat patutunguhang binubuksan nito, ibang granularity iyon kaysa talahanayan ng ruta at hindi nito maaayos ang isang sirang site sa loob ng gumaganang app.
Karaniwang pinaghahalo ng mga desktop client ang dalawang uri sa isang interface, kaya tingnan kung ang linyang idinaragdag mo ay package, pangalan ng host o prefix. Iba silang nabibigo at iba ang lugar kung saan sila nalulutas. Ang linyang pangalan ng host ay karaniwang nagiging ruta at pangalan, samantalang ang linyang package ay nagiging desisyon sa patakaran sa loob ng client. Isulat kung alin ang idinagdag mo, dahil ang magde-debug mamaya ay ipapalagay ang isa pa.
Subukan ang estado ng pagkabigo, hindi lamang ang maayos na landas
Ang app na ibinukod sa tunnel ay hindi awtomatikong nakakakuha ng malinis na direktang access. Kung ipinapatupad din ng client ang patakaran ng pagharang nang walang VPN, ang ibinukod na trapiko ay maaaring tuluyang itapon, at iyon ay mukhang sirang app kaysa desisyon sa pagruruta. Sadyang subukan ang kasong iyon sa halip na matuklasan ito mula sa ulat ng gumagamit.
Pagkatapos ay suriin ang DNS at IPv6 bilang magkaibang item. Ang tunnel na nagdadala lamang ng IPv4 ay nag-iiwan ng daan sa paligid para sa app na may kakayahang v6, at ang split DNS ang nagpapasya kung nareresolba ang mga panloob na pangalan para sa trapikong hindi dumadaan sa tunnel. Patakbuhin ang app na nakalista, app na hindi nakalista, isang paghahanap ng pangalan at isang muling pagkonekta, at itabi ang mga resulta kasama ng configuration.
Isulat ang default kung saan ito makikita ng susunod na tao
Itala ang piniling default, ang mga pagbubukod at kung kanino sila nabibilang sa parehong lugar ng profile ng client, dahil ang susunod na administrador ay magdaragdag ng entry nang hindi binabasa ang pangangatwiran na ito. Isulat ang petsa at ang dahilan ng bawat pagbubukod, upang ang laos na pagbubukod para sa site na naayos na ay maaaring alisin nang may kumpiyansa. Ang listahang walang dahilan ay lumalaki nang walang hanggan.
Kapag may nag-ulat ng isang sirang patutunguhan, palitan ang pagbubukod at hindi ang batayan. Ang pagbaligtad ng default para ayusin ang isang site ay tahimik na naglilipat ng bawat app na wala sa listahan sa kabilang panig ng tunnel.