ملفات تعريف IKEv2 VPN على Android مرتبطة بالمستخدم لا بالجهاز

يغطي تعبير VPN المدمج أمرين غير مترابطين على Android: تنفيذ بروتوكول تشغله المنصة نيابة عنك، وشكل الإعدادات الذي قرر المصنع إتاحته. هذان ليسا الشيء نفسه، ولا يضمن أي منهما أن النفق يخص المستخدم الذي تحتاج تطبيقاته إليه. يحدث التجهيز داخل مستخدم محدد وبحزمة استدعاء محددة، وكل ما يتبع ذلك يرث هذا السياق. اقرأ سلسلة الملكية قبل أن تقرأ شاشة الإعدادات.

ما الذي تبنيه المنصة لك

منذ Android 11 تعرض المنصة تجهيز VPN عبر VpnManager. يصف تطبيق معتمد ملف تعريف IKEv2، وتدير المنصة بنفسها تبادل IPsec وIKE، فلا يلمس التطبيق الحزم أبداً. هذا هو الفرق الجوهري عن تطبيق VPN مخصص ينفذ VpnService ويبني النفق في عمليته الخاصة.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

الاستدعاء أعلاه رسم للشكل وليس كتلة جاهزة للنسخ واللصق: للمنشئ عدة صيغ للمصادقة تختلف حسب مستوى API، كما يحمل ملف التعريف مادة الثقة الخاصة بشهادة الخادم. أما ما يهم في مسألة الملكية فهو أضيق من الصياغة.

خاصيتان تنتجان عن هذا التصميم. ملف التعريف بيانات، لذا يمكن لمسؤول تجهيزه بدلاً من كتابته يدوياً. والنفق شبكة تابعة للمنصة، لذا يظهر للتطبيقات كشبكة ذات نقل VPN لا كمقبس تطبيق آخر.

الملكية هي المستخدم أولاً ثم الحزمة

تعدد المستخدمين في Android فصل حقيقي لا مجرد تسمية. ملف تعريف العمل مستخدم منفصل له حزمه المثبتة وبيانات تطبيقاته ومخزن مفاتيحه ونقاط ثقته. المنتج نفسه المثبت في المكانين هو نسختان بمعرّفي مستخدم مختلفين، حتى لو كانت أيقونات المشغّل وأسماء المنتجات متطابقة.

يُسجَّل التجهيز على الحزمة المستدعية في ذلك المستخدم. لذلك ينشئ تطبيق تجهيز يعمل في الملف الشخصي نفقاً شخصياً، ولا ترى تطبيقات العمل في ملف العمل شيئاً منه. والعكس صحيح أيضاً، ولهذا يكون نفق ملف العمل غير مرئي للتطبيقات الشخصية دون سياسة صريحة تنص على خلاف ذلك.

يمكن لوحدة تحكم سياسة الجهاز أن تجهّز نيابة عن ملف تعريف مُدار، وهذا يفسر المدخلة التي لا يتذكر أحد في المكتب إنشاءها. إذا كنت تدقق هاتفاً، فمن المرجح أن يكون هذا هو مالك ملف تعريف باهت، وليس من حقك حذفه على سبيل التجربة.

ثلاثة أبواب قبل أن تتحرك أي حزمة

الباب الأول هو الصلاحية: يجب أن تسمح الإدارة بـ VPN أصلاً، وبعض عمليات النشر تقيد النوع إلى جانب الوجود. الثاني هو الهوية: يجب أن تكون شهادة العميل أو بيانات الاعتماد متاحة في المستخدم الذي يملك ملف التعريف، لأن الشهادة المستوردة إلى مخزن المفاتيح الشخصي غير مرئية لملف العمل.

الثالث هو الموافقة والسياسة. يوافق المستخدم عادة على الاتصال في أول استخدام، ويمكن للمسؤول تثبيته إضافياً كدائم التشغيل، واختيارياً مع القفل بحيث لا يخرج المرور خارج النفق. هذه الإعدادات تحدد ما يحدث عند توقف النفق، وهو الجزء الذي يلاحظه المستخدمون.

النطاق هو ملتقى الثلاثة. يحدد ملف التعريف البوابة والهوية، بينما تقرر طبقة السياسة أي التطبيقات يجوز لها استخدام النفق وما إذا كان المرور يُفرض عبره. لذلك يمكن لهاتفين بعنواني بوابة متطابقين أن يتصرفا بشكل مختلف جداً.

لماذا لا يغطي الاتصال الشخصي تطبيقات العمل

يُنشأ المرور من تطبيق العمل في مستخدم العمل، والسياسة الشبكية المطبقة هي سياسة ذلك المستخدم. النفق المقام في الملف الشخصي لا يحمله، مهما بدا المؤشر سليماً. هذه الحقيقة الواحدة تفسر معظم التقارير التي يقسم فيها المستخدم أن VPN متصل بينما يظل تطبيق معين عاجزاً عن الوصول إلى خدمة داخلية.

يتبع حل الأسماء الحدود نفسها. لواحق DNS الخاصة ونقاط الثقة لكل مستخدم، لذا قد يفشل اسم مضيف داخلي يُحل في الملف الشخصي في ملف العمل حتى مع نفق يبدو مكافئاً، لأن سياسة المحلل ومخزن CA كائنان مختلفان.

تحقق على تسجيل حقيقي، لا على هاتف مختبر

على الجهاز، حدد مالك المدخلة أولاً: أي مستخدم، وأي حزمة، وهل جاء ملف التعريف من مجهّز المنصة أم من تطبيق ينفذ خدمة VPN خاصة به. ثم تأكد من أن الهوية التي يتوقعها ملف التعريف موجودة فعلاً في مخزن مفاتيح ذلك المستخدم.

اختبر دورة الحياة، لا الاتصال وحده. سجّل الدخول، وافتح مخزن بيانات الاعتماد، ودع ملف العمل يتوقف للمساء، ثم أعده وتحقق من عودة النفق دون نقرة يدوية. ملف العمل الذي ينطفئ بعد ساعات يأخذ نفقه معه، وهذا سلوك متوقع لا عطل، بشرط أن تكون حالة التعذر المتوقعة مكتوبة.

أخيراً، اختبر تطبيق العمل نفسه على نقطة نهاية داخلية معروفة وقارنه بنتيجة الملف الشخصي. يجوز أن يختلفا؛ وما لا يجوز أن يختلف هو نموذج الملكية. إذا كان النفق يخص المستخدم الخطأ، فلن تصلحه إعادة إصدار الشهادات مهما تكررت.

لا تفرض الأمر بإطلاق أنشطة إعدادات مخفية لكشف قائمة، ولا تنسخ المفاتيح الخاصة بين ملفات التعريف لتظهر وصلة. توثّق مرجع VpnManager ما يُسمح للمستدعي بتجهيزه؛ وإذا لم يكن مسارك المعتمد مشمولاً، فذلك قرار للمسؤول لا مشكلة إعدادات.