Rozdělený tunel: výběr toho, co jde přes VPN
Obvykle jde všechno, co vaše zařízení odesílá, tunelem. Rozdělený tunel vám dovolí vyčlenit výjimky — bankovní aplikaci, která nedůvěřuje zahraničním adresám, tiskárnu ve vlastní síti, pracovní nástroj, který odpovídá jen lokálně.
Je to funkce placeného tarifu. V bezplatném tarifu se nastavení vůbec nezobrazuje a tento návod nebude odpovídat tomu, co vidíte.
Existuje na počítači i na telefonu. Obrazovky vypadají podobně a pravidla, jimiž se řídí, jsou stejná — ale filtr aplikací se uplatňuje na jiném místě, a z toho vyplývá něco, co je dobré vědět (§5).
1. Dva seznamy, každý ve dvou režimech
Existují dva nezávislé filtry:
- Aplikace — podle programu na počítači, podle nainstalované aplikace na telefonu;
- Weby — doménová jména a rozsahy IP adres.
Každý má režim:
- Vyloučit — všechno jde přes VPN kromě toho, co jste vypsali;
- Zahrnout — přes VPN jde jen to vypsané, všechno ostatní přímo.
Prázdný seznam nedělá nic. Oba seznamy prázdné nebo vypnutý hlavní přepínač znamenají, že se všechno tuneluje jako obvykle.
2. Pravidlo, které rozhoduje: vyhrává to, co jde mimo
Když mají oba filtry názor na totéž spojení, vyhrává výjimka: řekne-li kterýkoli seznam, že toto spojení má jít přímo, jde přímo.
| Co nastavíte | Co se stane |
|---|---|
| vyloučený web z aplikace, která jinak jde tunelem | přímo — web je výjimka |
| zahrnutý web z aplikace, kterou jste vyloučili | přímo — i aplikace je výjimka, a výjimka vyhrává |
| oba seznamy na vylučování | součet vašich výjimek: všechno tunelem kromě aplikace X a webu Y |
| nic není vypsáno | všechno přes VPN |
Druhý řádek lidi překvapuje, řekněme to tedy naplno: „zahrnout“ nic zpátky do tunelu nevtáhne. Zahrnutí zužuje to, co VPN nese; nezrušuje vyloučení udělané jinde. Chcete-li, aby web šel přes VPN z určité aplikace, nevylučujte tu aplikaci.
3. Na počítači
Nastavení je v Nastavení, jako odkaz na vlastní obrazovku.
Nahoře hlavní přepínač, pod ním seznam aplikací se svým režimem, pak seznam webů se svým a pak Použít. Nic se neprojeví, dokud Použít nestisknete.
Pravidla pro jednotlivé aplikace potřebují režim plného tunelu. Přiřadit spojení programu, který je otevřel, umí jen plný tunel — v režimu proxy je seznam aplikací nečinný, zatímco seznam webů dál funguje. Nevíte-li, v jakém režimu jste, Nastavení ho ukazují pod Režimem připojení.
4. Na telefonu
Nabídka → Nastavení → Rozdělený tunel.
Tytéž dva seznamy v témže pořadí: režim, pak nainstalované aplikace, pak weby.
Tlačítko SAVE je až dole, pod polem webů — a jen ono vaši volbu uloží. Odejdete-li z obrazovky gestem zpět, volba se zahodí.
K běžícímu tunelu se změna dostane, až se bude znovu stavět: po uložení se připojte znovu.
5. V čem se liší
Obrazovky si odpovídají a rozhodující pravidlo je stejné. Stroj pod nimi už ne.
| Počítač | Telefon | |
|---|---|---|
| kde se filtr aplikací uplatňuje | směrovacím pravidlem uvnitř tunelu | na samotném rozhraní tunelu, Androidem |
| potřebuje seznam aplikací plný tunel? | ano — v režimu proxy nečinný | ne, dostupný vždy |
Na počítači provoz vyloučené aplikace do tunelového programu přesto vstoupí a ven ho posílá pravidlo. Proto na režimu záleží: který program spojení otevřel, ví jen plný tunel, takže v režimu proxy seznam aplikací nedělá vůbec nic, zatímco seznam webů pracuje dál.
Na telefonu uplatňuje seznam aplikací sám Android, na rozhraní, ještě než provoz uvidí cokoli našeho. Vyloučená aplikace je mimo tunel od prvního paketu. Pro vás je výsledek stejný jako na počítači — aplikace jde přímo —, ale děje se to o vrstvu níž, a proto telefon nepotřebuje obdobu počítačového požadavku na režim.
6. Co má smysl dávat do seznamů
- věci, které musí vidět vaši skutečnou polohu — banka, úřední služba, místní doručovací aplikace;
- vaše vlastní síť — tiskárna, NAS, správcovská stránka routeru. Jako adresy (
192.168.0.0/16,10.0.0.0/8), ne jako jména; - velké místní služby, které chránit nepotřebujete, pokud na ně nechcete vydávat tunel.
A jedna věc, kterou má smysl si v tunelu ponechat: všechno, o čem nechcete, aby váš poskytovatel věděl, že to používáte. Vyloučené spojení je obyčejné spojení — viditelné pro vaši síť, vašeho poskytovatele i kohokoli dalšího na cestě, přesně jako by VPN nebyla. V tom je celá tato funkce a celá její cena.