Забарона налады VPN на Android: кантрольны спіс для ўкаранення

Нехта просіць вас спыніць людзей, якія наладжваюць уласны VPN на кіраваных прыладах Android. Спакуслівы адказ — правіла міжсеткавага экрана, якое блакуе некалькі знаёмых партоў. Гэты адказ не ўлічвае, як працуе платформа і як насамрэч падключаюцца праграмы.

Падтрыманае сродак кіравання — гэта абмежаванне на прыладзе або профілі, якім вы валодаеце, і яно мае пэўны абсяг, паводзіны, што залежаць ад версіі, і выключэнне, якое трэба наладзіць свядома.

Прайдзіце пяць праверак ніжэй па парадку. Кожная можа зрабіць план несапраўдным, таму спыніцеся на першай, якая не вытрымлівае.

Праверка 1: вырашыце, што значыць поўная адсутнасць VPN

За адным сказам хаваюцца два патрабаванні. Першае: ніводны карыстальнік не можа стварыць уласны VPN. Другое: працаваць можа толькі ўзгоджаны VPN арганізацыі. Абодва слушныя, і яны даюць розныя канфігурацыі, розныя гісторыі падтрымкі і розныя рэжымы адмоваў.

Запішыце, якое з іх вы набываеце, перш чым дакрануцца да кансолі кіравання. Калі мэта — адзіны ўзгоджаны тунэль для ўсіх, вы ўкараняеце ўзгоджаны шлях з забаронай вакол яго; калі мэта — наогул без тунэляў, трэба таксама прыняць, што шляхі выдаленага доступу і пошуку няспраўнасцяў зменяцца.

Памыліцеся тут — і ўкараненне выглядае працоўным, але ціха адсякае VPN, ад якога залежыць эксплуатацыя; звычайна гэта выяўляе чарговы спецыяліст у незручную гадзіну.

Праверка 2: пацвердзіце паўнамоцтвы, якія вы сапраўды маеце

Android прадстаўляе гэтае абмежаванне праз UserManager.DISALLOW_CONFIG_VPN, апісанае ў даведцы UserManager. Яно перашкаджае наладзе і запуску VPN і не з'яўляецца наладай, якую звычайная праграма можа ўжыць да сябе ці да іншых праграм.

Яго ўжывае ўпаўнаважаны адміністратар: уладальнік прылады для ўсёй прылады або ўладальнік профілю для кіраванага профілю, прычым тыя ж паўнамоцтвы даступныя ўладальніку профілю ўнутры кіраванага профілю. Калі ваш EMM не можа выступаць у адной з гэтых роляў, у вас няма гэтага сродку, і ніякая колькасць налад палітыкі ў кансолі яго не створыць.

Абсяг важны не менш за паўнамоцтвы. Абмежаванне, ужытае да працоўнага профілю, кіруе гэтым профілем, а не асабістай часткай таго ж тэлефона. Апісваць гэта як кантроль над усім, што робіць карыстальнік, няправільна, і гэта будзе праверана першым чалавекам, які ўсталюе VPN у асабістым профілі і ўбачыць, што яно працуе.

Праверка 3: ведайце паводзіны версій

Абмежаванне змянялася ад выпуску да выпуску, і гэтыя адрозненні вызначаюць, што ваша ўкараненне фактычна зробіць на прыладах у полі.

Радок API 31 — гэта тое, што здзіўляе людзей пасярэдзіне ўкаранення: на гэтых прыладах ужыванне не касметычнае, яно адключае тунэль, які ўжо працаваў. Плануйце гэта як бачную падзею, а не як ціхую змену налад.

Радок API 24 — гэта тое, што вас ратуе: VPN пастаяннага падключэння, наладжаны ўладальнікам, перажывае абмежаванне, і менавіта так узгоджаны шлях застаецца даступным наогул.

Праверка 4: захавайце ўзгоджаны шлях працоўным

Наладзьце і праверце VPN пастаяннага падключэння арганізацыі да ўжывання абмежавання, а не пасля. Калі ўжыць спачатку, прылады страцяць тунэль і інструменты, якімі вы б іх дыягнаставалі, адначасова.

Праверце тры рэчы яўна: што VPN пастаяннага падключэння стварае ўладальнік, а не карыстальнік; што ён запускаецца на гэтых прыладах пасля ўжывання; і што ён перажывае перазагрузку. Тунэль, які ўзнімаецца толькі ўручную, — не ўзгоджаны шлях, а чарга зваротаў у падтрымку.

Трымайце шлях аднаўлення, які не залежыць ад працы тунэля. Кансоль кіравання, лакальны адмінскі шлях або пазапалосны канал — усё гэта працуе. Не працуе меркаванне, што зламаную палітыку можна выправіць праз тое злучэнне, якое палітыка толькі што адключыла.

Праверка 5: праверце, а потым апішыце мяжу сумленна

Тэстуйце на рэальнай прыладзе і рэальным уліковым запісе. Пацвердзіце, што карыстальнік не можа дадаць або запусціць VPN; пацвердзіце, што ўзгоджаны тунэль падключаецца і пераносіць трафік; і пацвердзіце, што асабісты профіль паводзіць сябе так, як апісана. Гэтыя тры вынікі — крытэрыі прыёмкі.

Потым будзьце асцярожныя з тым, што сцвярджаеце. Абмежаванне кіруе магчымасцю VPN у Android. Яно не ператварае кожнае дазволенае злучэнне ў правераны пратакол і не перашкаджае праграме накіроўваць уласныя запыты праз яўны проксі. Блакаванне UDP 500, UDP 4500 і аднаго OpenVPN порта — не той самы сродак, бо трафік можа ісці праз мноства транспартаў, уключаючы звычайны на выгляд HTTPS.

Калі патрабаванне шырэйшае за магчымасць VPN, спалучыце гэта з палітыкай распаўсюджвання праграм, кантролем уліковых запісаў і сеткавымі абмежаваннямі, адпаведнымі асяроддзю. І запішыце тое, што застаецца па-за абсягам, каб ніхто не паўтарыў частковае абмежаванне як поўнае ў наступным аўдые.