Een app in OpenVPN gemerk? Die lysbasis beslis
Dieselfde gemerkte pakket beteken insluit of uitsluit, afhangend van die lysbasis. Kies eers slegs-insluit, herverbind, en toets dan die hele werkvloei.
Die merkkassie lyk na die hele besluit, en op Android is dit nie. Dieselfde gemerkte pakket beteken “net hierdie app gebruik die VPN” onder ’n slegs-insluit-basis en “hierdie app slaan die VPN oor” onder ’n uitsluit-geselekteerde basis. Mense installeer ’n kliënt, vind ’n lys met die naam Toegelate apps, merk die een pakket wat hulle interesseer, en stap weg met ’n beleid wat die teenoorgestelde doen. Om kliënte te verander help selde; om die basis te kies voordat jy aan die lys raak, help wel.
Die basis is die beleid, nie die merkkassie nie
Onder Android se VpnService, konfigureer ’n kliënt per-app-roetering met addAllowedApplication of addDisallowedApplication. Die eerste beperk die tonnel tot die gelyste pakkette, die tweede tonnel alles behalwe hulle. Kliënte verpak die twee in ’n koppelvlak wat byna identies kan lyk, en sommige benoem die afdeling volgens die lys eerder as die modus, so die afdelingstitel alleen kan jou nie sê watter basis aktief is nie.
Lees die modusbeheer bokant die lys, nie die opskrif nie. In die amptelike OpenVPN for Android-kliënt het die toegelate-apps-lys ’n slegs-insluit- en ’n uitsluit-geselekteerde basis, en ’n handelsmerkweergawe kan albei anders verwoord terwyl dieselfde twee gedrag behou word. ’n Skermfoto van ’n ander kliënt, of van ’n ouer weergawe van dieselfde een, is nie bewyse oor die modus waarin jy is nie.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Daardie tabel is die hele mite. Om die app te merk is ’n stelling oor een pakket; die basis besluit of die stelling “sluit dit in” of “sluit dit uit” is.
Kies die modus, dan die pakket
Werk in hierdie volgorde, want ’n keuse wat onder een basis gemaak is, kan ’n modusverandering oorleef en sy effek stilweg omkeer:
- Identifiseer die regte pakket en of dit die persoonlike of die werkprofiel-kopie is.
- Maak die toepassingkeuse-instellings oop vir die presiese VPN-profiel waarmee jy verbind.
- Stel die basis wie se betekenis “net geselekteerde apps gebruik die VPN” is.
- Sluit die bedoelde pakket in en laat onverwante apps buite die stel.
- Herverbind sodat die kliënt die koppelvlak met die nuwe lys herbou.
Die profiel maak net soveel saak soos die pakket. ’n Kliënt kan verskeie profiele hou, en per-app-seleksie hoort by die een waarmee jy werklik verbind; om ’n profiel te wysig wat jy nooit gebruik nie, verander niks. Op ’n bestuurde toestel is die werkprofiel ’n aparte gebruiker met sy eie kopie van die app en sy eie beleid, so die feit dat die persoonlike instansie binne die tonnel is, sê niks oor die werkinstansie nie.
Herverbind voordat jy die resultaat beoordeel
VpnService lees die toepassinglyste wanneer die tonnelkoppelvlak gevestig word. ’n Lopende tonnel neem nie noodwendig ’n lyswysiging op nie, en kliënte verskil in of hulle outomaties herbou of wag dat jy ontkoppel en weer koppel.
As die verandering niks blyk te doen nie, toets die herverbinding voordat jy die lys betwyfel. Maak dan ’n vars versoek eerder as om ’n bladsy te herlaai wat reeds oop was: ’n app wat ’n gevestigde verbinding hou, is ’n swak toetsonderwerp, en die resultaat wat jy sien, kan aan die ou koppelvlak behoort.
Jou werkvloei kan die app verlaat
’n App kan aan ’n blaaier oorhandig vir aanmelding, ’n dokumentkyker of ’n deelteiken. Onder ’n slegs-insluit-basis is daardie helpers buite die tonnel, so ’n werkvloei kan halfpad misluk selfs al was die eerste app korrek opgestel. Sluit die helper net in as die werkvloei dit regtig nodig het, en voeg dit doelbewus by eerder as om dit tydens ’n demo te ontdek.
Per-app-seleksie vervang ook nie die verbinding se eie roetebeeld nie. Die profiel moet steeds die bestemmingsprefixe en adresfamilies dra wat die app gebruik, en die gateway moet steeds die diens toelaat. ’n Korrek gelyste app met ’n onbereikbare bestemming lyk dieselfde as ’n verkeerd opgestelde lys.
Toets beide kante, skryf dan die beleid neer
Toets een vars versoek in die ingeslote app en een in ’n app wat veronderstel is om buite te bly. Vergelyk die uitgangsadres en toegang tot ’n private hulpbron, en herhaal dan ná ’n herverbinding. As jou organisasie Android se beleid gebruik om verbindings sonder VPN te blokkeer, kan ’n uitgeslote app heeltemal geblokkeer word in plaas daarvan om direk te gaan; dit is die beleid wat werk, nie ’n fout om te omseil nie.
Teken die modus aan, die pakketname met hul profiel, watter apps moet verbygaan, watter adresfamilies die tonnel dra, en wat moet gebeur wanneer die tonnel af is. As die kliënt die werkvloei nie netjies kan uitdruk nie, kies ’n wyer goedgekeurde app-stel of ’n bestuurde-profielbeleid in plaas daarvan om firewall-reëls op wortelvlak te wysig, wat nie deel van Android se ondersteunde per-app-meganisme is nie.