Android Ev LAN VPN İstisnası: Tek Bir Hizmet İçin Uygulama Kılavuzu

Bir ev hizmetine erişilebilir kalsın, VPN ise geri kalan her şey için yürürlükte olsun istiyorsunuz. Cazip ayar, tüm özel adresleri kapsayan yerel yol istisnasıdır ve bu yanlış denetimdir: bir sonraki otel ya da kafe ağında yanıt veren her şeyi bir atlatma yoluna çevirebilir. Bu kılavuz istisnayı tek bir hizmetle sınırlar ve onu bozan geçişler altında kanıtlar.

İstisnayı alt ağ değil, hizmet olarak tanımlayın

Uygulamayı, hedef ana bilgisayar adını ve adresini, protokolü ve bağlantı noktasını, izin verildiği ağı ve hizmetin kendi yaptığı kimlik doğrulamasını kaydedin. Kimlik doğrulamalı bir NAS için doğru makineye ulaştığınızı kanıtlayan şey sertifika ya da hesaptır. 192.168.0.0/16 içindeki bir adres hiçbir şey kanıtlamaz, çünkü her ev yönlendiricisi aynı önekleri dağıtır.

Ayrıca yakının ne demek olduğuna karar verin. Yönlendirilmiş bir VLAN üzerindeki hizmet, telefonun doğrudan bağlı olduğu alt ağda değildir ve misafir Wi-Fi, tamamen farklı bir makine olsa da evle aynı özel öneki paylaşabilir. İstisna yalnızca adres aralığını değil, hizmeti ve ortamı adlandırmalıdır.

Platform denetiminin gereksinime uyduğunu doğrulayın

Android IKEv2 profil oluşturucusu setLocalRoutesExcluded(true) sunar ve belgeleri atlatılabilir bir VPN gerektirir: istisna ancak istemci trafiğin tüneli atlamasına izin verdiğinde anlamlıdır. Aynı belgeler, alttaki ağın istisnayı etkileyen yollar sunabileceği konusunda uyarır; bu yüzden ayar güvendiğiniz ağı değil, katıldığınız ağı izler.

Bu ayrıca her kilitleme ya da yönetilen yapılandırmanın kullanıcının aynı istisnayı etkinleştirmesine izin vereceği vaadi değildir. Yol istisnası, atlatılabilirlik bayrağı ve cihaz engelleme politikası ayrı denetimlerdir ve yönetilen bir cihaz üçüncüyü yasaklarken ilk ikisine izin verebilir. Bir onay kutusu etrafında tasarım yapmadan önce kurulu profili ve yönetim politikasını kontrol edin.

Uygulama kılavuzu: istisnayı oluşturun ve uygulayın

Adım 1: profili dağıtım için desteklenen yoldan oluşturun, ya yönetilen yapılandırma ya da istemci oluşturucusu. Adım 2: VPN'i atlatılabilir olarak işaretleyin, çünkü yerel yol istisnası bu olmadan etkili değildir. Adım 3: yerel yol istisnasını etkinleştirin. Adım 4: hizmetin kendi kimlik doğrulamasını ve sertifika doğrulamasını açık tutun; istisna güvenle değil yönlendirmeyle ilgilidir. Adım 5: kaydedin ve profilin uygulanması için yeniden bağlanın.

Geri alma aynı yolun tersidir: istisnayı temizleyin, sonra atlatılabilirliği temizleyin, sonra yeniden bağlanın. Cihazda doğrudan bir yol ya da güvenlik duvarı kancası yamamayın. Ağ arka plan programı bu kuralların sahibidir ve elle eklenen bir kural başka bir adres ailesini, yeniden bağlanmayı ya da ağ geçişini kaçırabilir. Kurulu yapılandırma politikayı ifade edemiyorsa, sahibi başka bir tasarımı onaylayana kadar daha katı bloğu koruyun.

Önemli dört durumu test edin

Zararsız istekler kullanın ve her durumu çalıştırmadan önce beklenen sonucu yazın. Aşağıdaki matris kabul testidir, öneri değildir: reddedilmesi gereken herhangi bir durum başarılı olursa istisna politikadan daha geniştir.

Durum 3, geniş bir özel alt ağ atlatmasını yakalayan durumdur ve durum 4, istisnayı yalnızca bağlantı anında uygulayan istemciyi yakalar. Durum 4'ü VPN bağlantısı kesikken ve telefon hücresele taşınmışken çalıştırın, sonra yeniden bağlanın ve istisnanın yeniden başlatma olmadan geri döndüğünü doğrulayın. yerel yol API başvurusu Adım 2'yi isteğe bağlı olmaktan çıkaran atlatılabilirlik gereksinimini belirtir.

İstisnayı kaydedin ve gözden geçirin

Sürekli tutulan kayıt hizmeti, istisnayı haklı çıkaran ortamı, sahibi ve tarihi adlandırmalıdır. Yerel, bir güven düzeyini değil yönlendirme ilişkisini tanımlar ve telefonun katılacağı sonraki ağ, istisnanın onaylandığı ağ değildir.

Kaydı bir işletim sistemi güncellemesinden, istemci güncellemesinden ya da taşınmadan sonra gözden geçirin. İstisna her yenilendiğinde durum 3'ü yeniden çalıştırın, çünkü atlatmayı bir zamanlar bir hizmetle sınırlayan profil tek bir varsayılan değişikliğiyle genişletilebilir.