İş tətbiqi VPN tələb edir? Əvvəlcə bu üç qatı yoxlayın

Mesaj deyir ki, tətbiq VPN tələb edir, lakin tətbiq adətən onu bloklayan şeyi adlandırmaq əvəzinə simptom bildirir. Bu cümləni üç ayrı sahib yarada bilər: tətbiqin danışdığı şəxsi xidmət, tətbiqin öz siyasət kodu və iş profilinə nəzarət edən cihaz idarəetmə qatı. Hansının soruşduğu nə etməli olduğunuzu dəyişir və üçündən yalnız biri tunel qoşmaqla düzəlir. Sahibini əvvəlcə tapmaq sizi heç vaxt problem olmayan klienti yenidən quraşdırmaqdan xilas edir.

Tətbiqin özü nəyi yoxlaya bilər

Gizli platforma qaydasını fərz etməzdən əvvəl unutmayın ki, adi tətbiq VPN nəqliyyatının aktiv olub-olmadığını görə bilər. ConnectivityManager TRANSPORT_VPN daşıyan şəbəkələri bildirir və NET_CAPABILITY_NOT_VPN-in olmaması hər çağırana cari yolun tuneldən keçdiyini söyləyir. Tuneldən kənarda işləməkdən imtina etmək istəyən tərtibatçı bunu açıq API-lərlə və heç bir müəssisə aləti olmadan edə bilər.

Tətbiqin bu yolla görə bilmədiyi şey VPN-in kimə aid olduğudur. Nəqliyyat bayrağı tunelin mövcud olduğunu deyir, onun təşkilatınızın gözlədiyi yerdə bitdiyini deyil.

Xidmət yolu: şəxsi adlar və ünvanlar

Mesajın ən çox rast gəlinən dürüst versiyası heç də siyasət yoxlaması deyil. Tətbiq yalnız korporativ DNS görünüşü daxilində mövcud olan wiki və ya API son nöqtəsi kimi daxili host adını həll edir və heç bir siyasət kodu işləməzdən əvvəl axtarış uğursuz olur. Tunel işlək ola və ümumi internet trafikini keçirə bilər, halbuki bölünmüş DNS həmin adı heç vaxt eşitmədiyi resolverə göndərir.

Buradakı simptomlar dardır. Bir host uğursuz olur, tətbiqin qalan şəbəkə çağırışları işləyir və uğursuzluq işə salınmada deyil, ad axtarışı zamanı görünür. Daxili sertifikatlar ikinci uğursuzluq rejimi əlavə edir, çünki təşkilatın CA-sına bərkidilmiş tətbiq paketlər axsa belə ictimai sertifikatı rədd edir.

Təsadüfi kommersiya VPN-i qoşmaq bunların heç birini düzəltmir. Çıxış ünvanınızı dəyişir və daxili adı eyni dərəcədə həll olunmaz qoyur.

Tətbiq siyasəti qatı

Tətbiq öz qapısını da daşıya bilər. İdarə olunan konfiqurasiyalar təşkilata tətbiqin bəyan etdiyi açar-dəyər cütlərini göndərməyə imkan verir və tətbiq onları RestrictionManager vasitəsilə oxuyur. Tələb olunan profil adı və ya icazə verilən şəbəkə siyahısı kimi açar tamamilə tərtibatçının dizaynıdır və tətbiq kodunda həmin kodun seçdiyi xəta mətni ilə tətbiq olunur.

Bu qat mətnin adətən özünü ele verdiyi yerdir. Mesaj işə salınmada dərhal, hər hansı şəbəkə çağırışından əvvəl görünürsə və siyasət, profil və ya administrator qeyd edirsə, çox güman ki, düşmüş paketə deyil, tətbiq məntiqinə baxırsınız.

Eyni məhdudiyyəti şəxsi cihazda oxumaq çıxılmaz yoldur. İdarə olunmayan cihazlarda oxunacaq məhdudiyyət yoxdur, ona görə tətbiq qurulduğu hər hansı standart dəyərə qayıdır.

Platforma qatı: daimi aktiv və kilid

Cihaz idarəetməsi tətbiqin aşa bilməyəcəyi məcburiyyət əlavə edir. Cihaz siyasəti nəzarətçisi iş profili üçün setAlwaysOnVpnPackage çağıra bilər, istəyə görə kilid aktivləşdirilmiş halda, və kilid yandıqdan sonra platforma həmin paketdən keçməyən trafiki rədd edir. Blok tətbiq xətası kimi deyil, sistem şərti kimi görünür: profildəki digər tətbiqlər də şəbəkəyə çıxışı dayandırır.

Əhatə dairəsi vacibdir. Daimi aktiv VPN hər istifadəçi üzrə qurulur, ona görə iş profili paketi şəxsi profilinizi əhatə etmir və şəxsi VPN iş profili paketini qane etmir. İki profil, iki müstəqil şəbəkə siyasəti, bir cihaz.

Bu həm də əlaqəsiz VPN-in kömək edə bilmədiyi yeganə qatdır, çünki siyasət bir konkret paketi adlandırır.

Üçünü ayırd etmək

İmzaları sıra ilə işləyin və uyğun gələn birincidə dayanın. Bir host adı uğursuz olarkən qalan hər şey həll olunursa, bu xidmət yoluna işarə edir. İşə salınmada siyasət mətni ilə dərhal imtina tətbiq məntiqinə işarə edir. Təsdiqlənmiş klient ayrıldıqca bütün profilin bağlantısını itirməsi kilidə işarə edir. Və hər hansı tuneli qəbul edən tətbiq nəqliyyat bayrağını yoxlayır, təşkilatınızın kimliyini deyil.

Faydalı sübutlar: dəqiq mətn və onun vaxtı, eyni profildəki digər tətbiqlərin hələ də bağlantısı olub-olmaması, şəxsi adın təsdiqlənmiş tunel daxilində həll olunub-olunmaması və cihazın açdığınız tətbiq üçün iş nişanı göstərib-göstərməməsi.

Dəstək sorğusuna nə yazmalı

Qatı adlandıran sorğu ilk cəhddə düzgün yönləndirilir. Belə bir şey: iş profili tətbiqi açılır, təsdiqlənmiş VPN qoşulduqdan sonra resurs siyahısı uğursuz olur, icazə verilmiş diaqnostikada şəxsi ad həlli uğursuz olur və profildəki digər tətbiqlər işləməyə davam edir. Bu, marşrut və ya resolver problemi kimi oxunur və hesabın sıfırlanması dövrünü keçir.

Təsdiqlənmiş VPN tamamilə yoxdursa, dəstəklənən yol administratorunuz vasitəsilə qeydiyyat və ya yenidən təchizatdır. İdarəetmə profilini silmək, əlaqəsiz klient quraşdırmaq və ya şəbəkə vəziyyətini saxtalaşdırmaq təhlükəsizlik quruluşunu bərpa etmək əvəzinə dəyişdirir.

Qatdan başlayın, klientdən deyil. Yuxarıdakı üç imza bunu adətən bir sessiyada həll edir.