Waarom ’n VPN per toepassing die werkkopie van ’n Android-toepassing mis

Een toepassing verskyn twee keer op ’n selfoon met ’n werkprofiel, en die twee kopieë is nie dieselfde subjek nie. ’n VPN per toepassing wat in een konteks opgestel is, beheer daardie konteks se instansie, en daarom kan ’n reël wat die pakket noem die ander kopie steeds onaangeraak laat. Dit is nie ’n fout om te omseil nie, dit is die profielgrens wat presies doen waarvoor dit ontwerp is. Die vraag wat die moeite werd is om te beantwoord, is watter konteks die VPN besit en watter een die toepassing besit wat jy probeer beskerm.

Een ikoon, twee installasies, twee eienaars van die beleid

Android gee die werkprofiel sy eie bestuurde konteks, volledig met aparte toepassings, rekeninge en beleid, sodat die lanseerder twee inskrywings kan wys wat ’n naam en ’n kenteken deel. ’n VPN-diens wat in een konteks begin word, werk vir die gebruikers van daardie konteks, en dit is die meganisme agter die hele probleem. Die ikoon sê watter toepassing jy gedruk het, nie watter profiel die gevolglike verkeer besit nie. Daarom moet die eienaar uit die profiel gelees word en nie uit die prentjie nie.

’n Organisasie kan ook altyd-aan- of blokkeer-sonder-VPN-gedrag vir die bestuurde kant afdwing, wat verander wat gebeur wanneer die tonnel af is. Die persoonlike kant het geen sodanige waarborg nie, tensy jy self een gebou het.

Wat ’n lys toegelate toepassings werklik beteken

Android se ondersteuning vir VPN per toepassing is op lyste gebou, gedokumenteer in die gids oor VPN-gebruikers en werkprofiele, en die twee lystipes het teenoorgestelde verstekwaardes. ’n Lys van toegelate toepassings beteken net die genoemde pakkette gebruik die tonnel en alles anders word uitgesluit, terwyl ’n lys van nie-toegelate toepassings beteken alles is ingesluit behalwe die genoemde pakkette. Draai dit om en jy het die teenoorgestelde van die bedoelde beleid gebou terwyl die instellingskerm steeds geloofwaardig lyk. Die lys word in die konteks geëvalueer waar die VPN loop, dus ’n pakketnaam wat in beide profiele voorkom, pas net by die kopie in daardie konteks. ’n Pakket wat nie in die ander profiel gelys is nie, gaan hierdie VPN eenvoudig niks aan nie.

Skryf die gedrag neer vir die twee of drie toepassings wat saak maak, want die verskil tussen alles-behalwe en net-hierdie bepaal of ’n persoonlike toepassing om die tonnel lek of geslote misluk. ’n Klein tabel klop ’n paragraaf hier: een ry per profiel, met die lystipe en die verstek vir alles anders.

Watter kant hardloop die tonnel, en onder wie se beleid

’n Verbruiker-VPN lig nie die organisasie se beheermaatreëls van die bestuurde profiel op nie, en ’n werkprofiel-VPN is nie ’n algemene tonnel vir persoonlike toepassings nie. As die organisasie sy eie kliënt vir bestuurde toepassings vereis, is die persoonlike kliënt ’n aparte reëling met sy eie beleid en sy eie foutmodusse. Besluit watter meganisme watter verkeer moet dra voordat jy resultate vergelyk, anders meet jy twee stelsels en noem die verskil ’n fout. Binne sy eie konteks wen die bestuurde kant gewoonlik, en dit is die bedoelde gedrag.

Die ongemaklike geval is ’n bestuurde toepassing wat ’n roete nodig het wat die bestuurde beleid nie voorsien nie. Dit is ’n uitsonderingversoek aan die organisasie, nie ’n rede om die werkprofiel te deaktiveer nie.

Om die instansie te toets wat jy werklik bedoel het

Begin die kopie wat jy waardeer en ondersoek die versoek van binne, want ’n openbare adreskontrole in die persoonlike blaaier sê niks oor die werktoepassing nie. Verifieer die aangemelde rekening en interne naamoplossing afsonderlik, aangesien ’n interne naam van die bestuurde roete kan afhang terwyl openbare blaai elders bly. Let op watter kopie watter resultaat opgelewer het op die oomblik van jou toets, en sit die profiel in die etiket; ’n skermkiekie met twee identiese ikone is nie bewyse nie. Herhaal die kontrole ná ’n herverbinding en nadat die profiel herskep is, want die beleid kan intussen weer toegepas word.

As jy nie kan sê watter kopie geantwoord het nie, reg die etikettering voordat jy enige gevolgtrekking maak. ’n Dubbelsinnige resultaat is slegter as geen resultaat nie, want dit word later aangehaal asof dit die vraag besleg het.

Dekking dokumenteer sodat die volgende toets oorleef

Teken drie feite saam aan vir elke konteks: die toepassingsinstansie, die eienaar van die beleid en die verwagte dekking. Dit is genoeg vir die volgende persoon om jou toets te herhaal sonder om te raai watter ikoon hulle begin het. Voeg die lystipe en die verstek vir ongelyste pakkette by, want dit is die deel wat mense die meeste verkeerd lees.

Verifieer dan een interne naam en een eksterne adres van elke kant, en skryf neer wat moet gebeur wanneer die bestuurde kant die persoonlike VPN blokkeer. ’n Selfoon waar nie een van die kante gedek is terwyl albei aanlyn lyk nie, is die fout waarteen dit die moeite werd is om te ontwerp. Wanneer albei profiele werklik ’n tonnel nodig het, beplan twee reëlings eerder as een slim reël.