Як вибрати програми для VPN і не загубитися у винятках

На ноутбуці може бути потрібен захищений сеанс у браузері, тоді як іншій програмі потрібне звичайне з’єднання. Роздільне тунелювання іноді дозволяє поєднати обидва завдання, але сама назва функції не пояснює, який трафік піде кожним шляхом. В одному клієнті позначка означає «спрямовувати ці програми через VPN», а в іншому — «виключити ці програми». Почніть із короткого переліку очікуваної поведінки, а потім перевірте кожну відповідну програму. Не створюйте довгий список винятків лише тому, що така можливість є. Кожен виняток має розв’язувати відому проблему, яку можна описати й переглянути згодом.

Визначте правила роздільного тунелювання перед вибором програм

Запишіть програму, завдання та бажаний маршрут. Наприклад, браузер для пошуку інформації має використовувати тунель, а окремій програмі може бути потрібен прямий доступ із документованої причини сумісності. Це приклад можливої схеми, а не універсальна рекомендація. На пристрої під керуванням роботодавця правила доступу адміністратора мають перевагу над особистими вподобаннями.

Спершу з’ясуйте, чи потрібен виняток узагалі. Якщо єдиний симптом — зниклий принтер, виключення цілого браузера може розв’язувати не ту проблему. Виявлення пристроїв, дозволи та доступ до локальної мережі варто перевірити окремо. Стаття про доступ до принтерів і трансляції пояснює саме цю вужчу ситуацію. Виняток для прямого інтернет-з’єднання та дозвіл звертатися до сусіднього пристрою — різні рішення.

Біля кожної запропонованої зміни вкажіть відповідального й причину. Для особистого телефона відповідальним будете ви. На спільному комп’ютері така нотатка допоможе наступному користувачеві не сприймати індикатор з’єднання як опис маршруту кожної програми. Додайте дату: виняток, створений через тимчасовий збій, не має непомітно стати постійним.

Уважно прочитайте, що означає вибраний список

Вибір програм зазвичай використовує одну з двох моделей. Список включення визначає програми, які мають проходити через тунель. Список виключення визначає ті, які мають його оминати. Тому список із тими самими трьома назвами може означати протилежні правила. Читайте пояснювальне речення в клієнті, а не орієнтуйтеся лише на виділення елементів.

Документація Android для розробників VPN описує списки дозволених і виключених програм як альтернативи. Вона також зазначає, що зміни потребують нового встановлення з’єднання. Це не визначає вигляд налаштувань кожного користувацького клієнта, але пояснює, чому після зміни списку може знадобитися перепідключення.

За моделі включення стежте за новими встановленнями: нова програма може залишитися поза вибраним набором. За моделі виключення перевіряйте, чи не залишилося старе правило після зникнення його початкової причини. Жодна модель не краща автоматично. Оберіть ту, яку можете надійно підтримувати, і перевірте поведінку програм, яких немає у списку. Не робіть висновків лише з назви функції, перекладеної по-різному на різних платформах.

Перевіряйте клієнт разом з операційною системою

Підписка надає дані доступу й адреси підключення; можливості маршрутизації також залежать від програми, що їх імпортує. Два клієнти з тією самою підпискою можуть пропонувати різні налаштування. Навіть застосунок з однаковою назвою може мати різні функції на телефоні та комп’ютері. Перевірка сумісності VPN-клієнта допоможе з’ясувати, чи встановлена програма справді підтримує потрібні вам правила.

В Android системне блокування з’єднань поза VPN може впливати на виключені програми. Задокументована поведінка полягає в тому, що програми поза дозволеним шляхом через тунель можуть втратити доступ до мережі замість отримання прямого з’єднання. За суворих правил це може бути правильним результатом, а не ознакою завершення підписки.

Не вимикайте таке блокування непомітно лише заради роботи винятку. Спершу вирішіть, чи прийнятний прямий трафік для цього пристрою й завдання. Якщо ні, оберіть іншу підтримувану схему. Збережіть знімок або коротку нотатку початкових налаштувань без посилань підписки, ключів конфігурації та особистих даних облікового запису.

Перевіряйте програму, а не позначку браузера

Підготуйте два завдання без чутливих даних: одне в межах запланованого тунелю, інше поза ним. Закрийте непотрібну фонову активність, підключіть VPN і перезапустіть відповідні програми, якщо їхня документація це рекомендує. Перевірка публічної адреси у вибраному браузері дає відомості про запит цього браузера. Вона не доводить маршрут окремого поштового клієнта, гри чи процесу синхронізації файлів.

Якщо програма надає діагностичні дані, використайте їх для перевірки саме її з’єднання. Інакше запишіть спостережуваний результат і попросіть підтримку запропонувати відповідний тест. Не встановлюйте невідоме розширення для аналізу й не передавайте дані доступу лише заради відображення адреси. Успішний вхід сам по собі не доводить певний маршрут, адже сервіс може приймати з’єднання обома шляхами.

Повторіть перевірку після відключення та підключення штатними засобами клієнта. Якщо програма відкриває браузер для авторизації, включіть цей перехід у тест: сторінка входу може працювати в іншій програмі. Використовуючи інструкції для Android, зіставляйте їх із клієнтом і пристроєм, якими справді користуєтеся.

Розрізняйте маршрутизацію, особу та фільтрацію

Виключення програми змінює мережевий шлях, але не створює іншу людину й не стирає наявний сеанс облікового запису. Сервіс і надалі може пов’язувати дії з акаунтом, у який виконано вхід. Переведення браузера поза тунель не відокремлює автоматично його cookies, збережені вподобання та історію акаунта від попереднього використання.

DNS і фільтрацію також потрібно розглядати окремо. Програма може використовувати резолвер, вибраний операційною системою, VPN або власними налаштуваннями. Виняток маршруту може по-різному взаємодіяти з цими варіантами в різних клієнтах. Якщо ви покладаєтеся на блокування через DNS, перевірте очікувану поведінку у виключеній програмі, а не припускайте, що кожна функція відповідає індикатору з’єднання.

Розмежовуйте в нотатках бажаний маршрут, спостережувану поведінку та невирішене питання. Наприклад, «відеопрограма працює напряму» — спостереження; «усі її фонові запити оминають тунель» — значно сильніше твердження. Якщо важливе саме друге, попросіть документоване налаштування й тест, який це справді вимірює. Не перетворюйте зручне усунення симптому на гарантію безпеки.

Підтримуйте невеликий і зрозумілий набір правил

Переглядайте список після заміни пристрою, перевстановлення програми або зміни клієнта. Видаляйте винятки, мета яких більше не існує, і повторно перевіряйте решту завдань. Короткий перелік із чіткими причинами легше підтримувати, ніж великий набір, скопійований з інтернет-інструкції щодо несправностей.

Звертаючись до підтримки Lumeraya, зазначте пристрій, версію системи, назву клієнта, режим вибору й очікувану поведінку однієї програми. Поясніть, чи вона повністю перестала працювати, чи лише використовує несподіваний маршрут. Не показуйте секретні дані конфігурації на публічних знімках екрана.

Добре налаштоване роздільне тунелювання дає зрозумілий результат: ви знаєте, які програми включені, які виключені та що ще не перевірено. Залишайте звичайний трафік на захищеному шляху за замовчуванням, якщо виняток не має конкретної мети. Переглядайте цю мету зі зміною умов, замість того щоб вважати вчорашню робочу позначку постійним описом пристрою.