Yalnızca Dahil Et veya Yalnızca Hariç Tut Bölünmüş Tünel: Varsayılan Hangisi?
Listeyi kurmadan önce varsayılanı seçin: yalnızca adını verdiğinizi tünele alın ya da her şeyi tünele alıp istisnaları oyup çıkarın. Sonra kimsenin listeye eklemediği uygulamayı deneyin.
VPN istemcinizin yönlendirme bölümünü açın; çoğu zaman aynı etiketi taşıyan, biçimleri farklı iki denetim görürsünüz. Biri tünele girmesi gereken hedefleri listelemenizi ister, geri kalan her şey yerel ağı kullanmaya devam eder. Diğeri her şeyin tünelden geçtiğini varsayar ve neyin geri oyulacağını sorar. İkisi de ilk testte çalışan bir tünel verir ve ikisi de listeye satır eklenerek bakımda tutulur, bu yüzden biri yeni bir şey kurana kadar fark görünmez kalır.
Bu bir özellik değil, varsayılan seçimidir. Listede yirmi kayıt olmadan önce buna karar verin.
Varsayılanı broşürden değil istemciden okuyun
WireGuard bu kararı alışılmadık biçimde görünür kılar, çünkü AllowedIPs bir dahil etme listesidir ve başka bir anlamı yoktur. 0.0.0.0/0, ::/0 olan eş her şeyi tüneller, 10.20.0.0/16 olan eş ise yalnızca o ağı tüneller. Hariç tutma sözdizimi yoktur, bu yüzden bir alt ağı dışarıda bırakmak isterseniz ya diğer tüm önekleri saymalı ya da arayüzün dışında ilke yönlendirmesi eklemelisiniz.
OpenVPN aynı yere karşı yönden ulaşır: redirect-gateway def1 tam bir tünel kurar, ayrı route yönergeleri belirli önekleri ekler veya üzerine yazar. Ticari istemciler genellikle ikisini de bir onay kutusu ile hedef tablosunun arkasına saklar, bu yüzden etikete güvenmeden önce tablonun gerçekte hangisini düzenlediğini okuyun.
Sorulacak soru onay kutusunun adı değildir. Sorulacak soru, hedefi iki listenin hiçbirinde bulunmayan bir pakete ne olduğudur. Bunu yazılı olarak yanıtlayın, yapılandırmanın geri kalanı oradan çıkar. Bu soruyu atlarsanız ilk açıklanamayan arızayı o gün istemciye en yakın olan kişi kararlaştırır.
Kimsenin listeye eklemediği bir uygulamayı izleyin
Yalnızca dahil et tasarımında bu uygulama yerel ağ ve yerel DNS ile doğrudan çıkar. Yalnızca hariç tut tasarımında sunucunun izin verdiği ölçüde tünelden geçer ve yeni bir SaaS aracının ilk gün çalışmasıyla VPN onu bozdu diyen bir kaydın açılması arasındaki fark çoğu zaman buradadır.
Hiçbir varsayılan kendi başına daha güvenli değildir. Yalnızca dahil et, tünelin taşıdığı kapsamı daraltır ve yerel ağı en az dirençli yol yapar; yalnızca hariç tut ise tüneli olağan yol sayar ve istisnaları istisna olarak ele alır, bu da çoğu kurumsal politikanın gerçekte kastettiği şeye daha yakındır.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Platformun ne tür nesneleri listelediğine dikkat edin
Android'in VpnService.Builder izin verilen uygulama listesini ve yasaklanan uygulama listesini iki ayrı model olarak sunar ve uygulama başına kurallar hedefe göre değil pakete göre seçer. Böyle bir listeye konan tarayıcı açtığı her hedefi yanında taşır; bu, yönlendirme tablosundan farklı bir ayrıntı düzeyidir ve çalışan bir uygulamanın içindeki tek bir bozuk siteyi bile düzeltemez.
Masaüstü istemciler genellikle iki türü tek arayüzde karıştırır, bu yüzden eklediğiniz satırın paket mi, ana bilgisayar adı mı yoksa önek mi olduğunu denetleyin. Farklı biçimlerde başarısız olurlar ve farklı yerlerde çözülürler. Ana bilgisayar adı satırı genellikle bir yol ve ad olur, paket satırı ise istemcinin içinde bir ilke kararı olur. Hangisini eklediğinizi yazın, çünkü sonradan hata ayıklayan kişi diğerini varsayacaktır.
Yalnızca sorunsuz yolu değil, arıza durumunu da test edin
Tünelden hariç tutulan bir uygulama otomatik olarak temiz doğrudan erişim elde etmez. İstemci ayrıca VPN olmadan engelleme kuralını uyguluyorsa, hariç tutulan trafik tamamen düşürülebilir ve bu bir yönlendirme kararı gibi değil, bozuk bir uygulama gibi görünür. Bu durumu kullanıcı bildiriminden öğrenmek yerine bilerek test edin.
Ardından DNS ve IPv6'yı ayrı maddeler olarak denetleyin. Yalnızca IPv4 taşıyan bir tünel, v6 yeteneği olan uygulamaya etrafından dolaşacak bir yol bırakır ve split DNS, tünelden hiç geçmeyen trafik için iç adların çözülüp çözülmeyeceğine karar verir. Listede olan bir uygulamayı, listede olmayan bir uygulamayı, bir ad aramasını ve bir yeniden bağlanmayı çalıştırın; sonuçları yapılandırmayla birlikte saklayın.
Varsayılanı sıradaki kişinin bulacağı yere yazın
Seçilen varsayılanı, istisnaları ve bunların sahibini istemci profilinin bulunduğu yere kaydedin, çünkü sıradaki yönetici bu gerekçeyi okumadan bir kayıt ekleyecektir. Tarihi ve her istisnanın nedenini not edin; böylece sonradan düzeltilen bir site için eskimiş istisna güvenle kaldırılabilir. Nedeni olmayan bir liste sonsuza kadar büyür.
Biri tek bir bozuk hedef bildirdiğinde temeli değil istisnayı değiştirin. Tek bir siteyi düzeltmek için varsayılanı ters çevirmek, listede olmayan her uygulamayı sessizce tünelin öbür tarafına taşır.