Werkprogram vra ’n VPN? Kyk eers na hierdie drie lae

Die boodskap sê die program benodig ’n VPN, maar die program rapporteer gewoonlik ’n simptoom eerder as om die ding te noem wat dit geblokkeer het. Drie afsonderlike eienaars kan daardie sin lewer: die private diens waarmee die program praat, die program se eie beleidskode, en die toestelbestuurslaag wat die werkprofiel beheer. Watter een vra, verander wat jy moet doen, en net een van die drie word reggemaak deur ’n tonnel te koppel. Om eers die eienaar te vind, spaar jou daarvan om ’n kliënt te herinstalleer wat nooit die probleem was nie.

Wat die program self kan nagaan

Voordat jy ’n verborge platformreël aanneem, onthou dat ’n gewone program kan sien of ’n VPN-vervoer aktief is. ConnectivityManager rapporteer netwerke wat TRANSPORT_VPN dra, en die afwesigheid van NET_CAPABILITY_NOT_VPN sê vir enige oproeper dat die huidige pad getonnel is. ’n Ontwikkelaar wat wil weier om buite ’n tonnel te werk, kan dit met openbare API's doen en glad geen ondernemingsgereedskap nie.

Wat die program nie so kan sien nie, is wie se VPN dit is. ’n Vervoervlag sê ’n tonnel bestaan, nie dat dit eindig waar jou organisasie dit verwag nie.

Die dienspad: private name en adresse

Die mees algemene eerlike weergawe van die boodskap is glad nie ’n beleidstoets nie. Die program los ’n interne gasheernaam op, soos ’n wiki of ’n API-eindpunt wat net binne die korporatiewe DNS-aansig bestaan, en die opsoek misluk voordat enige beleidskode loop. Die tonnel kan op wees en algemene internetverkeer deurlaat terwyl gesplete DNS daardie naam na ’n oplosser stuur wat nog nooit daarvan gehoor het nie.

Simptome hier is smal. Een gasheer misluk, die res van die program se netwerkoproepe werk, en die mislukking verskyn tydens ’n naamopsoek eerder as by die bekendstelling. Interne sertifikate voeg ’n tweede mislukkingsmodus by, want ’n program wat aan die organisasie se CA vasgepen is, verwerp ’n openbare sertifikaat selfs wanneer die pakkette vloei.

Om ’n toevallige kommersiële VPN te koppel, maak niks daarvan reg nie. Dit verander jou uitgangsadres en laat die interne naam net so onoplosbaar.

Die programbeleidslaag

’n Program kan ook sy eie hek dra. Bestuurde konfigurasies laat die organisasie sleutel- en waardepare stoot wat die program verklaar, en die program lees dit deur RestrictionManager. ’n Sleutel soos ’n vereiste profielnaam of ’n toegelate netwerklys is heeltemal die ontwikkelaar se ontwerp, afgedwing in programkode met watter foutteks daardie kode ook al kies.

Hierdie laag is waar die bewoording dit gewoonlik verraai. As die boodskap onmiddellik by die bekendstelling verskyn, voor enige netwerkoproep, en ’n beleid, ’n profiel of ’n administrateur noem, kyk jy waarskynlik na programlogika eerder as ’n gevalle pakket.

Om dieselfde beperking op ’n persoonlike toestel te lees, is ’n doodloopstraat. Onbestuurde toestelle het geen beperkings om te lees nie, so die program val terug op watter verstek ook al waarmee dit gebou is.

Die platformlaag: altyd-aan en toesluiting

Toestelbestuur voeg afdwinging by wat die program nie kan oorheers nie. ’n Toestelbeleidsbeheerder kan setAlwaysOnVpnPackage vir die werkprofiel roep, opsioneel met toesluiting geaktiveer, en sodra toesluiting aan is, weier die platform verkeer wat nie deur daardie pakket gaan nie. Die blok is sigbaar as ’n stelseltoestand eerder as ’n programfout: ander programme in die profiel stop ook om die netwerk te bereik.

Die omvang maak saak. Altyd-aan VPN word per gebruiker opgestel, so ’n werkprofielpakket dek nie jou persoonlike profiel nie, en ’n persoonlike VPN bevredig nie die werkprofielpakket nie. Twee profiele, twee onafhanklike netwerkbeleide, een toestel.

Dit is ook die enigste laag waar ’n onverwante VPN nie kan help nie, want die beleid noem een spesifieke pakket.

Om die drie uitmekaar te hou

Werk die kenmerke in volgorde deur en stop by die eerste een wat pas. Een gasheernaam wat misluk terwyl alles anders oplos, wys na die dienspad. ’n Onmiddellike weiering by die bekendstelling met beleidsbewoording wys na programlogika. ’n Hele profiel wat verbinding verloor wanneer die goedgekeurde kliënt ontkoppel, wys na toesluiting. En ’n program wat enige tonnel aanvaar, kyk na die vervoervlag, nie na jou organisasie se identiteit nie.

Nuttige bewyse: die presiese teks en sy tydsberekening, of ander programme in dieselfde profiel nog verbinding het, of die private naam binne die goedgekeurde tonnel oplos, en of die toestel ’n werkkenteken wys vir die program wat jy oopgemaak het.

Wat om in die ondersteuningsversoek te sit

’n Versoek wat die laag noem, word met die eerste probeerslag reg aangestuur. Iets soos: die werkprofielprogram oopmaak, die hulpbronlys misluk nadat die goedgekeurde VPN koppel, private naamoplossing misluk in die toegelate diagnostiek, en ander programme in die profiel bly werk. Dit lees as ’n roete- of oplosserprobleem en slaan die rekeningherstel-lus oor.

As die goedgekeurde VPN heeltemal ontbreek, is die ondersteunde pad inskrywing of herprovisionering deur jou administrateur. Om die bestuursprofiel te verwyder, ’n onverwante kliënt te installeer of die netwerktoestand te vervals, verander die sekuriteitsreëling in plaas daarvan om dit te herstel.

Begin by die laag, nie by die kliënt nie. Die drie kenmerke hierbo besleg dit gewoonlik in een sitting.