Chỉ Bao Gồm hay Chỉ Loại Trừ trong Đường Hầm Chia Tách: Mặc Định Nào?
Chọn mặc định trước khi lập danh sách: chỉ đưa vào đường hầm những gì bạn gọi tên, hoặc đưa tất cả vào rồi khoét ra các ngoại lệ. Sau đó hãy thử ứng dụng mà không ai đưa vào danh sách.
Mở phần định tuyến trong ứng dụng VPN của bạn, bạn sẽ thấy hai bộ điều khiển có hình dạng khác nhau nhưng thường mang cùng một nhãn. Một bộ yêu cầu bạn liệt kê những điểm đến cần nằm trong đường hầm, còn mọi thứ khác vẫn dùng mạng cục bộ. Bộ kia giả định mọi thứ đều đi qua đường hầm rồi hỏi cần khoét ra lại những gì. Cả hai đều cho một đường hầm chạy được ngay lần thử đầu và cả hai đều được duy trì bằng cách thêm dòng vào danh sách, vì thế khác biệt cứ ẩn đi cho đến khi có người cài thứ gì mới.
Đây là lựa chọn mặc định chứ không phải một tính năng. Hãy quyết trước khi danh sách có hai mươi mục.
Đọc mặc định từ ứng dụng, không phải từ tờ quảng cáo
WireGuard khiến quyết định này hiện rõ một cách bất thường, vì AllowedIPs chỉ là danh sách bao gồm và không gì khác. Một peer với 0.0.0.0/0, ::/0 đưa mọi thứ vào đường hầm, còn peer với 10.20.0.0/16 chỉ đưa mạng đó vào. Không có cú pháp loại trừ, nên nếu muốn để một mạng con ở ngoài, bạn phải hoặc liệt kê mọi tiền tố còn lại hoặc thêm định tuyến chính sách bên ngoài giao diện.
OpenVPN đến cùng chỗ đó từ hướng ngược lại: redirect-gateway def1 dựng một đường hầm đầy đủ, còn các chỉ thị route riêng lẻ thêm vào hoặc ghi đè những tiền tố cụ thể. Các ứng dụng thương mại thường giấu cả hai sau một ô đánh dấu và bảng điểm đến, nên hãy đọc xem bảng thực sự sửa cái nào trước khi tin vào nhãn.
Câu hỏi cần đặt ra không phải là ô đánh dấu tên gì. Mà là điều gì xảy ra với một gói có điểm đến không xuất hiện trong danh sách nào. Hãy trả lời bằng văn bản và phần cấu hình còn lại sẽ theo đó mà ra. Bỏ qua câu hỏi này và sự cố đầu tiên không giải thích được sẽ do người gần ứng dụng nhất ngày hôm đó quyết định.
Theo dõi một ứng dụng không ai đưa vào danh sách
Trong thiết kế chỉ bao gồm, ứng dụng đó đi thẳng ra ngoài, qua mạng cục bộ và DNS cục bộ. Trong thiết kế chỉ loại trừ, nó đi qua đường hầm trong giới hạn máy chủ cho phép, và đây thường là chỗ tạo ra khác biệt giữa một công cụ SaaS mới chạy được ngay ngày đầu với một phiếu báo rằng VPN đã làm hỏng nó.
Không mặc định nào tự nó an toàn hơn. Chỉ bao gồm thu hẹp thứ đường hầm chuyên chở và biến mạng cục bộ thành con đường ít trở lực nhất, còn chỉ loại trừ coi đường hầm là đường đi bình thường và đối xử với ngoại lệ đúng như ngoại lệ, điều này gần với điều mà hầu hết chính sách doanh nghiệp thực sự nhắm tới.
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
Để ý xem nền tảng liệt kê loại đối tượng nào
VpnService.Builder trên Android phơi ra danh sách ứng dụng được phép và danh sách ứng dụng bị cấm như hai mô hình riêng biệt, và các quy tắc theo từng ứng dụng chọn theo gói chứ không theo điểm đến. Một trình duyệt được đặt vào danh sách như vậy sẽ mang theo mọi điểm đến mà nó mở, đó là độ chi tiết khác với bảng tuyến và nó không thể sửa một trang bị hỏng bên trong một ứng dụng đang chạy.
Các ứng dụng để bàn thường trộn cả hai loại trong một giao diện, nên hãy kiểm tra dòng bạn đang thêm là một gói, một tên máy hay một tiền tố. Chúng hỏng theo những cách khác nhau và được xử lý ở những nơi khác nhau. Dòng tên máy thường trở thành một tuyến cộng với một tên, còn dòng gói trở thành một quyết định chính sách bên trong ứng dụng. Hãy ghi lại bạn đã thêm loại nào, vì người gỡ lỗi sau này sẽ giả định loại kia.
Thử trạng thái hỏng, không chỉ con đường trơn tru
Một ứng dụng bị loại khỏi đường hầm không tự động có đường truy cập trực tiếp sạch sẽ. Nếu ứng dụng cũng áp quy tắc chặn khi không có VPN, lưu lượng bị loại có thể bị bỏ hoàn toàn, và điều đó trông như ứng dụng hỏng chứ không như một quyết định định tuyến. Hãy chủ động thử trường hợp đó thay vì phát hiện nó từ báo cáo của người dùng.
Sau đó kiểm tra DNS và IPv6 như những mục riêng. Một đường hầm chỉ chở IPv4 để lại cho ứng dụng có khả năng v6 một con đường vòng, còn split DNS quyết định việc tên nội bộ có phân giải được cho lưu lượng hoàn toàn không đi qua đường hầm hay không. Hãy chạy một ứng dụng có trong danh sách, một ứng dụng không có trong danh sách, một lần tra tên và một lần kết nối lại, rồi giữ kết quả cùng với cấu hình.
Ghi mặc định ở nơi người tiếp theo sẽ tìm thấy
Ghi lại mặc định đã chọn, các ngoại lệ và người sở hữu chúng ở cùng nơi với hồ sơ ứng dụng, vì người quản trị sau sẽ thêm một mục mà không đọc lý lẽ này. Ghi ngày và lý do của từng ngoại lệ, để một ngoại lệ cũ cho trang đã được sửa sau đó có thể được gỡ bỏ một cách chắc chắn. Một danh sách không có lý do sẽ lớn mãi không thôi.
Khi ai đó báo cáo một điểm đến bị hỏng, hãy đổi ngoại lệ chứ không đổi nền tảng. Việc lật mặc định để sửa một trang sẽ âm thầm chuyển mọi ứng dụng không có trong danh sách sang phía bên kia của đường hầm.