Bir telefonda iki VPN: tətbiqlərin sayını deyil, düzülüşü seçin

İki VPN-dən istifadə tək bir tələb deyil. Bu, iki təşkilata bir-birinin ardınca çatmaq, iş və şəxsi tətbiqləri ayrı saxlamaq və ya bir tuneli digərinin içində işə salmaq anlamına gələ bilər. Android bu üç halı tamamilə fərqli yollarla həll edir və telefonda quraşdırılmış VPN tətbiqlərinin sayı arxitektura deyil. Onları ayıran sual sadədir: eyni tətbiq üçün iki yol eyni anda mövcud olmalıdırmı?

Üç düzülüş, bir sual

Cavab xeyrdirsə, çünki iki şəbəkə fərqli vaxtlarda istifadə olunur, o zaman qəsdən keçid etmək istəyirsiniz. Cavab xeyrdirsə, çünki tətbiqlərin özləri ayrıdır, profil ayrımı istəyirsiniz, yəni hər tətbiq öz tunelinə sahib kontekstdə oturur. Cavab bəlidirsə və bir yol digərini fiziki olaraq daşımalıdırsa, zəncir istəyirsiniz və bu, üçündən sıranın dizaynın bir hissəsi olduğu yeganə haldır.

Qalan hər şey bu seçimdən irəli gəlir. Keçidin keçid pəncərəsi, ayrımın siyasət sərhədi, zəncirin isə əlavə yük və asılılıq xərci var. Yanlış olanı seçmək təmiz şəkildə uğursuz olmur; qoşulmuş görünən telefon və heç bir yerə çata bilməyən tətbiq yaradır.

Bir istifadəçi konteksti daxilində keçid

Android hər istifadəçiyə bir aktiv VPN xidməti icazə verir. Eyni kontekstdə ikinci VPN tətbiqini işə salmaq birincini əvəz edir və ya tamamilə rədd olunur; o, iki marşrut dəstini heç vaxt birləşdirmir və şifrələmələrini qətiyyən üst-üstə yığmır. Bir istifadəçi daxilində iki tunel ardıcıllıqdır, cəm deyil.

Bu, giriş həqiqətən ardıcıl olduqda işləkdir. Profilləri elə adlandırın ki, aktiv olan aydın olsun, keçid etməzdən əvvəl həssas olan hər şeyi bitirin və heç bir yolun tam qurulmadığı qısa bir pəncərə gözləyin. Brauzer vərəqini bağlamaq sessiyanı bitirməklə eyni deyil: vərəq hesab vəziyyətini saxlaya və növbəti sorğunu sadəcə yeni seçilmiş şəbəkə üzərindən göndərə bilər və bu, insanların sonradan fərq etdiyi tam həmin sızıntıdır.

Keçidin sizə verə bilmədiyi şey, eyni anda hər iki şəbəkədə olan bir maşındır. Əgər tətbiq hər tərəfdən şəxsi ünvan tələb edirsə, heç bir müştəri intizamı onu yaratmayacaq.

Profilə görə ayırma

İdarə olunan iş profili öz tətbiqləri, açar anbarı və şəbəkə siyasəti olan ayrı bir istifadəçidir. İş poçt müştərisi təşkilatın tunelindən istifadə edə, şəxsi brauzer isə şəxsi tuneldən istifadə edə bilər və hər ikisi eyni anda qoşula bilər, çünki onlar yuvanı tutmaq üçün yarışan eyni kontekstdə deyillər.

Ayrım həm də hədddir. Şəxsi brauzer iş tunelini borc almır, iş DNS şəkilçilərini görmür və yalnız hər iki xidmət qoşulmuş göründüyü üçün iş şəbəkəsinə çatmır. Kimsə bir keçidin açılmadığını bildirdikdə, hər iki VPN-ə toxunmazdan əvvəl tətbiqin hansı nüsxəsinin onu emal etdiyini və hansı profilin o hesaba sahib olduğunu yoxlayın.

Sərhədə sabit kimi baxın. İşəgötürənin marşrut qərarından yan keçmək üçün ikinci profil yaratmaq və ya iş profilini silmək, məhz bu düzülüşü işlək edən ayrımı məhv edir və idarə olunan cihazda bu, adətən konfiqurasiya düzəlişi deyil, siyasət pozuntusudur.

Sıranın dizayn olduğu zəncir

Zəncir, insanların hər ikisi eyni anda dedikdə adətən nəzərdə tutduqları düzülüşdür: telefonun tuneli marşrutlaşdırıcının tuneli içində gedir. İşləyə bilər və məhdudiyyətlər konkretdir. Xarici provayder telefonun VPN son nöqtəsinə işlək yol verməlidir, bu da UDP əsaslı protokollar üçün xarici xidmətin həmin trafiki bloklamamalı və ya məhdudlaşdırmamalı deməkdir.

Kimin nə gördüyünü anlayın. Xarici provayder daxili son nöqtəyə doğru bir bağlantı görür. Daxili provayder telefonun trafikini xarici çıxışdan alır və irəli ötürür. Son təyinat adətən daxili xidmətin çıxışını görür və zəncir boyunca heç bir provayder kor deyil; tətbiq hesabları marşrutdan asılı olmayaraq istifadəçini yenə tanıyır.

Praktik xərcləri gözləyin. Hər qat inkapsulyasiya əlavə edir, ona görə effektiv MTU aşağı düşür və bir tunel üçün yaxşı olan dəyər indi daxili tunelin MTU-su ehtiyatlı qoyulana qədər fraqmentləşir və ya dayanır. İki qat həm də iki uğursuzluq asılılığı və iki canlı saxlama mesajı dəsti deməkdir, itkili xarici keçid üzərində TCP əsaslı daxili tunel isə ölü server kimi görünən şəkildə dayana bilər.

Ən əsası, zəncir iki şəxsi şəbəkəni birləşdirmir. Marşrutlar, üst-üstə düşən prefikslər, DNS həlli və giriş qaydaları ayrı qərarlar olaraq qalır və bir VPN daşıyan marşrutlaşdırıcı, telefon başqa birini daşıyarkən telefona hər iki ünvan məkanını vermir.

Ayıklamadan əvvəl dizaynı yoxlayın

Düzülüşü bir cümlə ilə yazın və uğursuz olan tətbiqə qarşı sınayın. Ardıcıl giriş hər dəfə bir tunel göstərməlidir; profil ayrımı hər tətbiqi öz istifadəçisində göstərməlidir; zəncir daxili tunelin fiziki yox, xarici interfeys üzərindən qurulduğunu göstərməlidir.

adb shell ip -br addr
adb shell ip route get 10.20.0.8
adb shell dumpsys connectivity | grep -i vpn

Əgər marşrut axtarışı fiziki interfeysi adlandırır, tətbiq isə tunel gözləyirsə, dizayn və tətbiq konteksti razılaşmır və heç bir əlavə VPN tətbiqi onları uzlaşdırmayacaq. Siyasət detallarını marşrut detallarından daha çox ehtiyacınız varsa, idarə olunan profil sənədləri ayrım qaydalarını əhatə edir.