Android uy tarmog'i VPN istisnosi: bitta xizmat uchun qo'llanma
Faqat ruxsat bergan uy xizmatingizni istisno qiling, barcha xususiy marshrutlarni emas. Siyosatni yozing, chetlab o'tiladigan VPN dan foydalaning, so'ng mehmon tarmog'idagi nosozlikni sinang.
Siz bitta uy xizmatiga kirishni xohlaysiz, VPN esa qolgan hamma narsa uchun kuchda qolsin. Jozibali sozlama — barcha xususiy manzillarni qamrab oluvchi mahalliy marshrut istisnosi, va bu noto'g'ri boshqaruv: keyingi mehmonxona yoki kafe tarmog'ida u javob beradigan har qanday narsani chetlab o'tish yo'liga aylantirishi mumkin. Ushbu qo'llanma istisnoni bitta xizmat bilan chegaralaydi va uni buzadigan o'tishlar ostida isbotlaydi.
Istisnoni quyi tarmoq emas, xizmat sifatida belgilang
Ilovani, manzil xost nomi va manzilini, protokol va portni, ruxsat berilgan tarmoqni va xizmatning o'zi bajaradigan identifikatsiya tekshiruvini yozib qo'ying. Autentifikatsiyalangan NAS uchun aynan sertifikat yoki hisob to'g'ri mashinaga yetib kelganingizni isbotlaydi. 192.168.0.0/16 dagi manzil hech narsani isbotlamaydi, chunki har bir uy routeri bir xil prefikslarni tarqatadi.
Shuningdek, yaqin nimani anglatishini hal qiling. Marshrutlangan VLAN dagi xizmat telefon bevosita ulangan quyi tarmoqda emas, mehmon Wi-Fi esa butunlay boshqa mashina bo'lsa ham uy bilan bir xil xususiy prefiksni bo'lishishi mumkin. Istisno faqat manzil oralig'ini emas, xizmat va muhitni nomlashi kerak.
Platforma boshqaruvi talabga mos kelishini tasdiqlang
Android IKEv2 profil quruvchisi setLocalRoutesExcluded(true) ni taqdim etadi va uning hujjati chetlab o'tiladigan VPN ni talab qiladi: istisno faqat mijoz trafikning tunnelni chetlab o'tishiga ruxsat berganida ma'noga ega. Xuddi shu hujjat asosiy tarmoq istisnoga ta'sir qiluvchi marshrutlarni taqdim etishi mumkinligi haqida ogohlantiradi, shuning uchun bu sozlama siz ishonadigan tarmoqqa emas, qo'shiladigan tarmoqqa ergashadi.
Bu shuningdek har bir blokirovka yoki boshqariladigan konfiguratsiya foydalanuvchiga ayni istisnoni yoqishga ruxsat beradi degan va'da emas. Marshrut istisnosi, chetlab o'tish belgisi va qurilma bloklash siyosati alohida boshqaruvlardir va boshqariladigan qurilma uchinchisini taqiqlab, birinchi ikkitasiga ruxsat berishi mumkin. Belgilash katagi atrofida loyihalashdan oldin o'rnatilgan profilni va boshqaruv siyosatini tekshiring.
Qo'llanma: istisnoni yarating va qo'llang
1-qadam: profilni joylashtirish uchun qo'llab-quvvatlanadigan yo'l orqali yarating, yo boshqariladigan konfiguratsiya yo klient quruvchisi orqali. 2-qadam: VPN ni chetlab o'tiladigan deb belgilang, chunki mahalliy marshrut istisnosi usiz samarali emas. 3-qadam: mahalliy marshrut istisnosini yoqing. 4-qadam: xizmatning o'z autentifikatsiyasi va sertifikat tekshiruvini yoqilgan holda saqlang; istisno ishonch emas, marshrutlash haqida. 5-qadam: saqlang va profil qo'llanishi uchun qayta ulaning.
Orqaga qaytarish — xuddi shu yo'l teskari: istisnoni tozalang, so'ng chetlab o'tish imkoniyatini tozalang, so'ng qayta ulaning. Qurilmada marshrut yoki xavfsizlik devori ilgagini to'g'ridan-to'g'ri yamab qo'ymang. Tarmoq demoni bu qoidalarga egalik qiladi va qo'lda kiritilgan qoida boshqa manzil oilasini, qayta ulanishni yoki tarmoq o'tishini o'tkazib yuborishi mumkin. O'rnatilgan konfiguratsiya siyosatni ifodalay olmasa, egasi boshqa dizaynni tasdiqlamaguncha qattiroq blokni saqlang.
Muhim to'rt holatni sinang
Zararsiz so'rovlardan foydalaning va har bir holatni ishga tushirishdan oldin kutilgan natijani yozing. Quyidagi matritsa qabul sinovi, taklif emas: agar rad etilishi kerak bo'lgan biror holat muvaffaqiyatli o'tsa, istisno siyosatdan kengroq.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
3-holat keng xususiy quyi tarmoq chetlanishini ushlaydi, 4-holat esa istisnoni faqat ulanish paytida qo'llagan mijozni ushlaydi. 4-holatni VPN uzilgan va telefon uyali tarmoqqa o'tkazilgan holatda ishga tushiring, so'ng qayta ulanib istisno qayta yuklashsiz qaytganini tasdiqlang. mahalliy marshrut API ma'lumotnomasi 2-qadamni ixtiyoriy bo'lmagan qiladigan chetlab o'tish talabini ko'rsatadi.
Istisnoni yozib qo'ying va ko'rib chiqing
Doimiy yuritiladigan yozuv xizmatni, istisnoni asoslagan muhitni, egasini va sanani nomlashi kerak. Mahalliy so'zi ishonch darajasini emas, marshrutlash munosabatini tasvirlaydi va telefon qo'shiladigan keyingi tarmoq istisno tasdiqlangan tarmoq emas.
Yozuvni OS yangilanishi, mijoz yangilanishi yoki ko'chishdan keyin ko'rib chiqing. Istisno har yangilanganda 3-holatni qayta ishga tushiring, chunki bir paytlar chetlanishni bitta xizmat bilan chegaralagan profil bitta standart o'zgarishi bilan kengaytirilishi mumkin.