Android firewall qaydası VPN açıq olanda harada yaşamalıdır
Yalnız bir VpnService aktiv ola bilər, ona görə firewall tətbiqi ilə VPN tətbiqi üst-üstə yığılmır. Bir iş sorğusunu izləyin və hər qaydanı trafikin həqiqətən keçdiyi yerə qoyun.
Bir cümlə siyasətiniz var: bu tətbiq iş xidmətinə çata bilər, başqa heç nəyə yox. Növbəti sual məhsul seçimi kimi görünür, amma əslində yerləşmə sualıdır, çünki hər mümkün icra nöqtəsi telefonun trafikinin fərqli hissəsini görür. Şlüz yalnız tunelə girəni görür. Telefon tərəfindəki filtr yalnız ona icazə verilən hissəni görür. Bir sorğunu hər ikisindən keçirmək cavabı aydın edir.
Cümlədən başlayın, məhsuldan yox
Heç nə seçməzdən əvvəl tələbi genişləndirin. Bu, paket və onun işlədiyi profil deməkdir, çünki iş profilindəki tətbiq şəxsi profildəki eyni tətbiqdən fərqli istifadəçidir. Bu, təyinat deməkdir: host, port və protokol, xidmət adı yox. Bu, həmin adı həll edən DNS yolu deməkdir və tunel mövcud olmadıqda nə baş verməli olduğunu da bildirir.
Yazılı şəkildə nümunənin siyasəti dörd sətirdir: iş tətbiqi iş xidmətinə çata bilər; iş tətbiqi başqa heç nəyə çata bilməz; digər tətbiqlər dəyişməz qalır; tunel olmadıqda iş tətbiqi geri çəkilmək yerinə rədd edilir. Hər sətrin sahibi var və onların hamısı eyni sahib deyil.
Addım 1: telefonun özü nəyi icra edə bilər
Root olmayan Android firewall, arxasında uzaq tunel olmasa belə trafiki yerli olaraq tutan bir VpnService-dir. Android hər istifadəçi profili üçün bir aktiv VPN xidmətinə icazə verir, ona görə ikinci firewall tətbiqi birincinin arxasına qoşulmur. Onu əvəz edir və birinci tətbiqin filtrlədiyi interfeys yox olur.
Buna görə firewall-u VPN müştərisinin yanında quraşdırmaq insanların gözlədiyi birləşməni nadir hallarda verir. Əgər firewall başlayır və VPN ayrılır, heç nə birləşməmişdi; ikisi yer dəyişdi. İnterfeysin əvəzlənməsi əməkdaşlıq deyil və simptom digər tətbiq hər açılanda tunelin daim qopmasıdır.
Dəstəklənən quruluşlar var: artıq işlətdiyiniz VPN müştərisinə quraşdırılmış filtrləmə, cihaz siyasəti idarəedicisi və ya iş profili vasitəsilə idarə olunan platform nəzarəti, yaxud satıcının sənədləşdirdiyi arxitektura. Qalan hər şey hər tətbiq yeniləməsindən sonra yenidən yoxlanmalı olan təcrübədir.
Addım 2: şlüz nəyi icra edə bilər
Trafik uzaq tərəfdə şifrədən çıxarıldıqdan sonra şlüz ötürülən paketləri təsdiqlənmiş ünvanlara, xidmətlərə və ya autentifikasiya olunmuş VPN kimliklərinə məhdudlaşdıra bilər. Bu, oradan çıxan hər şey üçün həqiqi icradır və şəxsi alt şəbəkələrə girişi məhdudlaşdırmaq üçün düzgün yerdir.
Almadığı şey, hər adi IP paketinə əlavə olunmuş telefonun tətbiq kimliyidir. Bir tunel ünvanını paylaşan bir neçə tətbiq, dizayn onlara ayrı ünvanlar və ya ayrı autentifikasiya olunmuş kimliklər vermirsə, şlüz üçün bir subyektdir. Buna görə şlüzdə istifadəçi üzrə qayda telefonda tətbiq üzrə qayda deyil, idarəetmə konsolu onu necə adlandırsa da.
Addım 3: heç vaxt gəlməyəni siyahıya alın
VPN-dən çıxarılmış tətbiq yaxınlıqdakı cihazla əlaqə saxlayırsa, şlüzə heç vaxt çatmır, ona görə çıxış firewall-u heç vaxt almadığı paketi rədd edə bilməz. Eyni şey kəsinti zamanı təsadüfi birbaşa marşrut və yerli giriş şəbəkəsində daxil olan məruz qalma üçün də keçərlidir. Bunlar tərifinə görə yerli sərhədlərdir.
Əksi də doğrudur: əlaqəyə icazə verən yerli qayda şlüzün şəxsi şəbəkə ACL-i vasitəsilə giriş vermir. Bir sorğu hər iki sərhədə tabe ola bilər və birini ödəmək digəri haqqında heç nə demir.
Addım 4: hər qaydanı bir yola təyin edin
Heç nə konfiqurasiya etməzdən əvvəl qərarı cədvələ qoyun, çünki boş qalan xanalar dizaynların uğursuz olduğu yerdir.
| Yol | Bunu kim icra edə bilər | Kor nöqtə |
|---|---|---|
| İş tətbiqi iş xidmətinə, tunel açıq | Ünvan və xidmət üzrə şlüz ACL-i, üstəgəl digər yollarda yerli blok | Şlüz paketi hansı tətbiqin göndərdiyini görə bilmir |
| İş tətbiqi digər təyinatlara, tunel açıq | Yerli tətbiqdən xəbərdar filtr və ya həmin təyinatlar orada ünvanlandıqda şlüz | Yerli filtr aktiv VpnService olmalıdır |
| İş tətbiqi tunelsiz | Yerli rədd, belə ki tətbiq birbaşa yol tuta bilməsin | Filtr tunelin yox olmasına davam etməlidir |
| Yaxınlıqdakı LAN cihazı | Yalnız yerli siyasət | Şlüz bunu heç vaxt görmür |
İşlək forma iki işi olan iki sərhəddir. Yerli tətbiqdən xəbərdar sərhəd birbaşa geri çəkilmə daxil olmaqla telefon davranışını idarə edir, şlüz sərhədi isə uzaq resursları idarə edir. Şlüz tərəfi iş xidmətinə icazə verib hər digər şəxsi alt şəbəkəni rədd edə bilər, telefon tərəfindəki siyasət isə tətbiqin başqa cür tutacağı birbaşa yol haqqında öz qərarını verir.
Addım 5: nəqli canlı saxlayın, sonra yoxlayın
Hansı yerli siyasəti seçsəniz də, o, VPN-i quran və saxlayan nəqliyyata icazə verməlidir. Bu nəqliyyatı bloklamaq telefonu tunelsiz və siyasətsiz qoyur, bu isə heç nəyi ardıcıl icra etmir və diaqnozu çətinləşdirir, çünki tətbiqin sadəcə şəbəkəsi olmur.
Sonra ümumi təəssüratı deyil, ilk cümlənin hər sətrini yoxlayın: iş tətbiqi iş xidmətinə çatır, eyni tətbiq başqa təyinatda rədd edilir, iş olmayan tətbiq əvvəlki kimi davranır və tunel dayandırıldıqda iş tətbiqi birbaşa əlaqəyə geri çəkilmir. DNS yolunu ayrıca yoxlayın, çünki şəxsi DNS və ya şifrələnmiş həlledici yalnız ünvanları yoxlayan filtri yan keçə bilər.
Bu addımlardan biri telefonda ödənilə bilmirsə, tələb firewall ayarı deyil, arxitektura sualıdır. Siyasəti nəzarət etdiyiniz cihazla nəzarət etdiyiniz şlüz arasında bölmək adətən dürüst cavabdır və Android VPN bağlantı sənədləri platformanın bir xidmətə nəyə icazə verib nəyə verməyəcəyini təsdiqləmək üçün yerdir.