Ngoại lệ VPN mạng LAN tại nhà trên Android: quy trình cho một dịch vụ

Bạn muốn một dịch vụ tại nhà vẫn truy cập được trong khi VPN vẫn có hiệu lực với mọi thứ khác. Cấu hình hấp dẫn là miễn trừ tuyến nội bộ bao trùm mọi địa chỉ riêng, và đó là biện pháp kiểm soát sai: trên mạng khách sạn hay quán cà phê tiếp theo, nó có thể biến bất cứ thứ gì phản hồi thành một đường vòng. Quy trình này giới hạn ngoại lệ trong một dịch vụ và chứng minh nó qua những chuyển tiếp làm nó hỏng.

Định nghĩa ngoại lệ là một dịch vụ, không phải một subnet

Ghi lại ứng dụng, tên máy chủ và địa chỉ đích, giao thức và cổng, mạng nơi nó được phép, và việc kiểm tra danh tính do chính dịch vụ thực hiện. Với một NAS có xác thực, chứng chỉ hoặc tài khoản chính là thứ chứng minh bạn đã tới đúng máy. Một địa chỉ trong 192.168.0.0/16 không chứng minh gì cả, vì mọi router gia đình đều cấp cùng những tiền tố đó.

Cũng cần quyết định gần nghĩa là gì. Một dịch vụ trên VLAN có định tuyến không nằm trong subnet mà điện thoại kết nối trực tiếp, và Wi-Fi cho khách có thể dùng chung tiền tố riêng với nhà trong khi là một cỗ máy hoàn toàn khác. Ngoại lệ phải nêu tên dịch vụ và môi trường, không chỉ dải địa chỉ.

Xác nhận kiểm soát của nền tảng khớp với yêu cầu

Trình tạo hồ sơ Android IKEv2 cung cấp setLocalRoutesExcluded(true), và tài liệu của nó yêu cầu một VPN có thể bỏ qua: ngoại lệ chỉ có ý nghĩa khi máy khách cho phép lưu lượng đi vòng qua đường hầm. Cùng tài liệu đó cảnh báo rằng mạng bên dưới có thể cung cấp các tuyến ảnh hưởng đến ngoại lệ, đó là lý do cấu hình này đi theo mạng bạn tham gia chứ không phải mạng bạn tin cậy.

Nó cũng không phải lời hứa rằng mọi cấu hình khóa cứng hay được quản lý sẽ cho người dùng bật cùng ngoại lệ đó. Ngoại lệ tuyến, cờ cho phép bỏ qua và chính sách chặn thiết bị là những kiểm soát riêng biệt, và một thiết bị được quản lý có thể cấm cái thứ ba trong khi cho phép hai cái đầu. Hãy kiểm tra hồ sơ đã cài và chính sách quản lý trước khi thiết kế quanh một ô đánh dấu.

Quy trình: tạo và áp dụng ngoại lệ

Bước 1: tạo hồ sơ qua đường được hỗ trợ cho việc triển khai, hoặc cấu hình được quản lý hoặc trình tạo của máy khách. Bước 2: đánh dấu VPN là có thể bỏ qua, vì ngoại lệ tuyến nội bộ không hiệu quả nếu thiếu nó. Bước 3: bật ngoại lệ tuyến nội bộ. Bước 4: giữ nguyên xác thực riêng của dịch vụ và việc kiểm tra chứng chỉ; ngoại lệ nói về định tuyến, không phải niềm tin. Bước 5: lưu và kết nối lại để hồ sơ được áp dụng.

Khôi phục là đúng con đường đó theo chiều ngược: xóa ngoại lệ, rồi xóa khả năng bỏ qua, rồi kết nối lại. Đừng vá một tuyến hay móc tường lửa trực tiếp trên thiết bị. Tiến trình mạng sở hữu những quy tắc đó, và một quy tắc thủ công có thể bỏ sót họ địa chỉ khác, một lần kết nối lại hay một lần chuyển mạng. Nếu cấu hình đã cài không diễn đạt được chính sách, hãy giữ chặn chặt hơn cho tới khi chủ sở hữu phê duyệt thiết kế khác.

Kiểm thử bốn trường hợp quan trọng

Dùng các yêu cầu vô hại và ghi kết quả mong đợi trước khi chạy mỗi trường hợp. Ma trận dưới đây là bài kiểm thử chấp nhận, không phải gợi ý: nếu bất kỳ trường hợp nào đáng lẽ bị từ chối lại thành công, ngoại lệ rộng hơn chính sách.

Trường hợp 3 là trường hợp bắt được một đường vòng subnet riêng rộng, và trường hợp 4 bắt được máy khách chỉ áp dụng ngoại lệ lúc kết nối. Chạy trường hợp 4 khi VPN đã ngắt và khi điện thoại đã chuyển sang mạng di động, rồi kết nối lại và xác nhận ngoại lệ trở lại mà không cần khởi động lại. tham chiếu API tuyến nội bộ nêu yêu cầu về khả năng bỏ qua khiến bước 2 không thể bỏ qua.

Ghi lại ngoại lệ và xem xét nó

Bản ghi được duy trì phải nêu tên dịch vụ, môi trường đã biện minh cho nó, chủ sở hữu và ngày. Từ cục bộ mô tả một quan hệ định tuyến, không phải một mức độ tin cậy, và mạng tiếp theo mà điện thoại tham gia không phải mạng nơi ngoại lệ được phê duyệt.

Hãy xem lại bản ghi sau một lần cập nhật hệ điều hành, cập nhật máy khách hoặc một lần chuyển chỗ. Chạy lại trường hợp 3 mỗi khi ngoại lệ được gia hạn, vì một hồ sơ từng giới hạn đường vòng trong một dịch vụ có thể bị mở rộng chỉ bằng một thay đổi mặc định.