Blokkeer VPN-opstelling op Android: kontrolelys vir uitrol
Bepaal die beleid, bevestig die gesag wat jy het, kontroleer die gedrag per weergawe en hou die goedgekeurde altyd-aan-roete lewendig voordat jy afdwing.
Iemand vra jou om te verhoed dat mense hul eie VPN op bestuurde Android-toestelle opstel. Die aanloklike antwoord is 'n vuurmuurreël wat 'n paar bekende poorte blokkeer. Daardie antwoord misken hoe die platform werk en hoe toepassings werklik verbind.
Die ondersteunde beheer is 'n bestuursbeperking op die toestel of profiel wat jy besit, en dit het 'n duidelike omvang, gedrag wat per weergawe verskil, en 'n uitsondering wat jy doelbewus moet opstel.
Werk deur die vyf kontroles hieronder in volgorde. Elkeen kan die plan ongeldig maak, so stop by die eerste een wat nie standhou nie.
Kontrole 1: besluit wat geen VPN beteken
Twee vereistes skuil agter dieselfde sin. Die een is dat geen gebruiker sy eie VPN mag skep nie. Die ander is dat slegs die organisasie se goedgekeurde VPN mag loop. Albei is geldig, en hulle lewer verskillende opstellings, verskillende ondersteuningsverhale en verskillende foutmodusse.
Skryf neer watter een jy koop voordat jy aan 'n bestuurkonsert raak. As die bedoeling 'n enkele goedgekeurde tonnel vir almal is, implementeer jy 'n goedgekeurde roete met 'n verbod daaromheen; as die bedoeling geen tonnele hoegenaamd is nie, moet jy ook aanvaar dat afstandtoegang en foutsporing se roetes verander.
Kry dit verkeerd en die uitrol lyk of dit werk terwyl dit stilweg die VPN afsny waarop bedrywighede staatmaak, gewoonlik ontdek deur die persoon wat op diens is op 'n ongeleë uur.
Kontrole 2: bevestig die gesag wat jy werklik het
Android stel die beperking beskikbaar deur UserManager.DISALLOW_CONFIG_VPN, gedokumenteer in die UserManager-verwysing. Dit verhoed VPN-opstelling en -opstarting, en dit is nie 'n instelling wat enige gewone toepassing op homself of op ander toepassings kan toepas nie.
Dit word toegepas deur 'n gemagtigde administrateur: 'n toesteleienaar vir die hele toestel, of 'n profieleienaar vir die bestuurde profiel, met dieselfde gesag beskikbaar vir 'n profieleienaar binne die bestuurde profiel. As jou EMM nie as een van dié kan optree nie, het jy nie hierdie beheer nie, en geen hoeveelheid beleidsopstelling in die konsert sal dit skep nie.
Omvang is net so belangrik soos gesag. 'n Beperking wat op 'n werkprofiel toegepas word, beheer daardie profiel, nie die persoonlike kant van dieselfde foon nie. Om dit te beskryf as beheer oor alles wat die gebruiker doen, is onakkuraat, en dit sal getoets word deur die eerste persoon wat 'n VPN in die persoonlike profiel installeer en vind dat dit werk.
Kontrole 3: ken die gedrag per weergawe
Die beperking het oor weergawes verander, en die verskille bepaal wat jou uitrol werklik op die toestelle in die veld sal doen.
| Platformgrens | Gedokumenteerde gedrag |
|---|---|
| Toesteleienaar of profieleienaar | Die beperking kan onder daardie eienaar se gesag toegepas word |
| API 24 en later | 'n Altyd-aan-VPN wat die toestel- of profieleienaar opgestel het, word steeds deur die stelsel begin |
| API 31 en later | Om die beperking aan te skakel, ontkoppel 'n VPN wat die gebruiker reeds laat loop het |
Die API 31-ry is die een wat mense midde-in die uitrol verras: afdwinging is nie kosmeties op daardie toestelle nie, dit ontkoppel 'n tonnel wat reeds geloop het. Beplan daarvoor as 'n sigbare gebeurtenis eerder as 'n stil instellingsverandering.
Die API 24-ry is die een wat jou red: 'n eienaar-opgestelde altyd-aan-VPN oorleef die beperking, en dit is hoe die goedgekeurde roete hoegenaamd beskikbaar bly.
Kontrole 4: hou die goedgekeurde roete lewendig
Stel die organisasie se altyd-aan-VPN op en toets dit voordat jy die beperking afdwing, nie daarna nie. As jy eerste afdwing, verloor die toestelle die tonnel en die gereedskap waarmee jy hulle sou diagnoseer op dieselfde tyd.
Verifieer drie dinge uitdruklik: dat die altyd-aan-VPN deur die eienaar geskep word eerder as deur die gebruiker, dat dit op daardie toestelle begin nadat die beperking afgedwing is, en dat dit 'n herstart oorleef. 'n Tonnel wat net met die hand opkom, is nie 'n goedgekeurde roete nie; dit is 'n tou ondersteuningskaartjies.
Hou 'n herstelroete wat nie daarvan afhang dat die tonnel op is nie. 'n Bestuurkonsert, 'n plaaslike admin-roete of 'n buiteband-kanaal werk almal. Wat nie werk nie, is om te aanvaar jy kan 'n stukkende beleid regmaak deur die verbinding wat die beleid pas afgeskakel het.
Kontrole 5: verifieer, en beskryf dan die beperking eerlik
Toets met 'n werklike toestel en 'n werklike rekening. Bevestig dat 'n gebruiker nie 'n VPN kan byvoeg of begin nie, bevestig dat die goedgekeurde tonnel verbind en verkeer dra, en bevestig dat die persoonlike profiel steeds optree soos gedokumenteer. Daardie drie resultate is die aanvaardingskriteria.
Wees dan versigtig oor wat jy beweer. Die beperking beheer die Android-VPN-vermoë. Dit verander nie elke toegelate verbinding in 'n geïnspekteerde protokol nie, en dit keer nie dat 'n toepassing sy eie versoeke deur 'n eksplisiete proxy stuur nie. Om UDP 500, UDP 4500 en een OpenVPN-poort te blokkeer is nie dieselfde beheer nie, want verkeer kan oor baie transporte beweeg, insluitend gewoon-voorkomende HTTPS.
As die vereiste breër is as die VPN-vermoë, kombineer dit met toepverspreidingsbeleid, rekeningbeheer en netwerkbeperkings wat by die omgewing pas. En teken op wat buite die omvang bly, sodat niemand 'n gedeeltelike beperking as 'n volledige een herhaal in die volgende oudit nie.