Android IKEv2 VPN profilləri cihaz üzrə deyil, istifadəçi üzrədir

Android-də daxili VPN ifadəsi bir-biri ilə əlaqəsiz iki şeyi əhatə edir: platformanın sizin adınıza işlətdiyi protokol tətbiqi və istehsalçının göstərməyə qərar verdiyi parametr forması. Bunlar eyni obyekt deyil və heç biri tunelin ona ehtiyacı olan tətbiqlərin istifadəçisinə aid olduğuna zəmanət vermir. Quraşdırma konkret istifadəçidə və konkret çağıran paketdə baş verir, sonrakı hər şey də bu konteksti miras alır. Parametrlər ekranını oxumazdan əvvəl sahiblik zəncirini oxuyun.

Platforma sizin üçün nə qurur

Android 11-dən bəri platforma VPN quraşdırmasını VpnManager vasitəsilə təqdim edir. Təsdiqlənmiş tətbiq IKEv2 profili təsvir edir, platforma isə IPsec və IKE mübadiləsini özü aparır, beləliklə tətbiq paketlərə heç vaxt toxunmur. Bu, öz prosesində tunel quran və VpnService tətbiq edən fərdi VPN tətbiqindən əsaslı fərqdir.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

Yuxarıdakı çağırış kopyala-yapışdır bloku deyil, formanın eskizidir: qurucunun bir neçə autentifikasiya variantı var, onlar API səviyyəsinə görə fərqlənir və profil server sertifikatının etimad materialını da daşıyır. Sahiblik sualı üçün vacib olan sintaksisdən daha dardır.

Bu dizayndan iki xüsusiyyət çıxır. Profil məlumatdır, ona görə onu əl ilə yazmaq əvəzinə administrator quraşdıra bilər. Tunel isə platforma şəbəkəsidir, ona görə tətbiqlərə başqa tətbiqin soketi kimi deyil, VPN daşıyıcısı olan şəbəkə kimi görünür.

Sahiblik əvvəlcə istifadəçidir, sonra paket

Android-in çoxistifadəçili rejimi etiket deyil, real ayrılıqdır. İş profili öz quraşdırılmış paketləri, öz tətbiq məlumatları, öz açar anbarı və öz etimad lövbərləri olan ayrı istifadəçidir. Hər iki yerdə quraşdırılmış eyni məhsul, işəsalma nişanları və məhsul adları eyni olsa da, fərqli istifadəçi identifikatorları olan iki nüsxədir.

Quraşdırma həmin istifadəçidə çağıran paketə qarşı qeydə alınır. Beləliklə şəxsi profildə işləyən quraşdırma tətbiqi şəxsi tunel yaradır, iş profilindəki iş tətbiqləri isə ondan heç nə görmür. Əksi də doğrudur, buna görə iş profili tuneli açıq şəkildə başqa cür bildirən siyasət olmadıqca şəxsi tətbiqlər üçün görünməzdir.

Cihaz siyasəti nəzarətçisi idarə olunan profil adından quraşdıra bilər, bu da ofisdə heç kimin yaradıldığını xatırlamadığı girişi izah edir. Əgər telefonu audit edirsinizsə, boz görünən profilin ehtimal olunan sahibi məhz odur və onu təcrübə kimi silmək sizin işiniz deyil.

Paket hərəkət etməzdən əvvəl üç qapı

Birinci qapı səlahiyyətdir: rəhbərlik ümumiyyətlə VPN-ə icazə verməlidir, bəzi yerləşdirmələr isə mövcudluqla yanaşı növü də məhdudlaşdırır. İkincisi kimlikdir: müştəri sertifikatı və ya etimad məlumatları profilin sahibi olan istifadəçidə mövcud olmalıdır, çünki şəxsi açar anbarına idxal edilmiş sertifikat iş profili üçün görünmür.

Üçüncüsü razılıq və siyasətdir. İstifadəçi adətən bağlantını ilk istifadədə təsdiqləyir, administrator isə onu əlavə olaraq həmişə-açıq kimi bərkidə bilər, istəyə görə kilidləmə ilə trafik tuneldən kənara çıxa bilməz. Bu parametrlər tunel söndükdə nə olacağını müəyyən edir və istifadəçilərin hiss etdiyi hissə məhz budur.

Əhatə dairəsi üçünün görüşdüyü yerdir. Profil şlüzü və kimliyi müəyyən edir, siyasət qatı isə hansı tətbiqlərin tuneldən istifadə edə biləcəyini və trafikin onun içindən məcburi keçib-keçmədiyini həll edir. Buna görə eyni şlüz ünvanına malik iki telefon çox fərqli davrana bilər.

Şəxsi bağlantı iş tətbiqlərini niyə əhatə etmir

İş tətbiqindən gələn trafik iş istifadəçisində yaranır və tətbiq olunan şəbəkə siyasəti həmin istifadəçidəki siyasətdir. Şəxsi profildə qurulmuş tunel onu daşımır, göstərici nə qədər sağlam görünsə də. Bu tək fakt istifadəçinin VPN qoşulub deyə and içdiyi, amma müəyyən bir tətbiqin yenə də daxili xidmətə çata bilmədiyi halların çoxunu izah edir.

Ad həlli də eyni sərhədə tabedir. Şəxsi DNS şəkilçiləri və etimad lövbərləri istifadəçi üzrədir, ona görə şəxsi profildə həll olunan daxili host adı, ekvivalent görünən tunel olsa belə, iş profilində uğursuz ola bilər, çünki həlledici siyasəti və CA anbarı fərqli obyektlərdir.

Laboratoriya telefonunda deyil, real qeydiyyatda yoxlayın

Cihazda əvvəlcə girişin sahibini müəyyən edin: hansı istifadəçi, hansı paket və profil platformanın quraşdırıcısından, yoxsa öz VPN xidmətini tətbiq edən proqramdan gəlib. Sonra profilin gözlədiyi kimliyin həqiqətən həmin istifadəçinin açar anbarında olduğunu təsdiqləyin.

Yalnız qoşulmanı deyil, həyat dövrünü sınaqdan keçirin. Daxil olun, etimad anbarını açın, iş profilinin axşam üçün fasilə verməsinə icazə verin, sonra onu geri gətirin və tunelin əl ilə toxunmadan qayıtdığını yoxlayın. Saatlardan sonra sönən iş profili tunelini özü ilə aparır və bu, nasazlıq deyil, gözlənilən davranışdır, bir şərtlə ki, gözlənilən əlçatmaz vəziyyət yazılı olsun.

Nəhayət, iş tətbiqinin özünü tanınmış daxili son nöqtəyə qarşı sınayın və şəxsi profilin nəticəsi ilə müqayisə edin. İkisi fərqlənə bilər; fərqlənməməli olan sahiblik modelidir. Tunel səhv istifadəçiyə aiddirsə, sertifikatların yenidən verilməsi bunu düzəltməyəcək.

Menyu üzə çıxarmaq üçün gizli parametrlər fəaliyyətlərini işə salaraq məsələni zorla həll etməyin və bağlantı görünsün deyə profillər arasında şəxsi açarları köçürməyin. VpnManager arayışı çağıranın nə quraşdıra biləcəyini sənədləşdirir; təsdiqlənmiş yol sizin halınızı əhatə etmirsə, bu parametr problemi deyil, administratorun qərarıdır.