Адзначылі адну праграму ў OpenVPN? Вырашае база спісу
Адзін і той жа адзначаны пакет азначае ўключэнне або выключэнне ў залежнасці ад базы спісу. Спачатку выберыце «толькі ўключаныя», перападключыцеся, затым праверце ўвесь працэс.
Сцяжок выглядае як уся пастанова, але на Android гэта не так. Адзін і той жа адзначаны пакет азначае «толькі гэтая праграма выкарыстоўвае VPN» пры базе «толькі ўключаныя» і «гэтая праграма абыходзіць VPN» пры базе «выключыць выбраныя». Людзі ўсталёўваюць кліент, знаходзяць спіс з назвай «Дазволеныя праграмы», адзначаюць адзін патрэбны пакет і сыходзяць з палітыкай, якая робіць наадварот. Змена кліента рэдка дапамагае; дапамагае выбар базы да таго, як дакрануцца да спісу.
База — гэта палітыка, а не сцяжок
З дапамогай VpnService ад Android кліент наладжвае маршрутызацыю па кожнай праграме праз addAllowedApplication або addDisallowedApplication. Першы абмяжоўвае тунель пералічанымі пакетамі, другі прапускае праз тунель усё, акрамя іх. Кліенты апраўляюць абодва ў інтэрфейс, які можа выглядаць амаль аднолькава, а некаторыя называюць раздзел па спісе, а не па рэжыме, таму адна назва раздзела не можа сказаць, якая база актыўная.
Чытайце элемент кіравання рэжымам над спісам, а не загаловак. У арыгінальным кліенце OpenVPN for Android спіс дазволеных праграм мае базу «толькі ўключаныя» і базу «выключыць выбраныя», а фірмовая зборка можа фармуляваць абедзве па-рознаму, захоўваючы тыя ж дзве паводзіны. Здымак экрана з іншага кліента або з старэйшай версіі таго ж — не доказ пра рэжым, у якім вы знаходзіцеся.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Гэтая табліца — увесь міф. Адзначэнне праграмы — гэта сцвярджэнне пра адзін пакет; база вырашае, ці сцвярджэнне «уключыць яго», ці «выключыць яго».
Спачатку рэжым, потым пакет
Працуйце ў такім парадку, бо выбар, зроблены пры адной базе, можа перажыць змену рэжыму і моўчкі перавярнуць свой эфект:
- Вызначце сапраўдны пакет і тое, ці гэта копія асабістага профілю або працоўнага.
- Адкрыйце налады выбару праграм для менавіта таго профілю VPN, да якога вы падключаецеся.
- Усталюйце базу, сэнс якой — «толькі выбраныя праграмы выкарыстоўваюць VPN».
- Уключыце патрэбны пакет, а староннія праграмы пакіньце па-за наборам.
- Перападключыцеся, каб кліент перабудаваў інтэрфейс з новым спісам.
Профіль важны не менш за пакет. Кліент можа трымаць некалькі профіляў, і выбар для кожнай праграмы належыць таму, да якога вы фактычна падключаецеся; рэдагаванне профілю, якім вы ніколі не карыстаецеся, нічога не змяняе. На кіраванай прыладзе працоўны профіль — асобны карыстальнік са сваёй копіяй праграмы і сваёй палітыкай, таму знаходжанне асабістага асобніка ў тунелі нічога не кажа пра працоўны асобнік.
Перападключыцеся, перш чым ацэньваць вынік
VpnService чытае спісы праграм пры ўсталяванні інтэрфейсу тунелю. Працуючы тунель не абавязкова падхоплівае змену спісу, і кліенты розняцца ў тым, ці перабудоўваюць яны аўтаматычна, ці чакаюць, пакуль вы адключыцеся і падключыцеся зноў.
Калі здаецца, што змена нічога не робіць, праверце перападключэнне, перш чым сумнявацца ў спісе. Затым зрабіце новы запыт, а не перазагружайце старонку, якая ўжо была адкрыта: праграма, якая трымае ўсталяванае злучэнне, — дрэнны аб’ект для тэсту, і вынік, які вы бачыце, можа належаць старому інтэрфейсу.
Ваш працоўны працэс можа выйсці за межы праграмы
Праграма можа перадаць кіраванне браўзеру для ўваходу, праглядальніку дакументаў або мэце абагульвання. Пры базе «толькі ўключаныя» гэтыя памагатыя знаходзяцца па-за тунелем, таму працэс можа сарвацца на паўдарозе, нават калі першая праграма была наладжана правільна. Уключайце памагатага, толькі калі працэс сапраўды мае ў ім патрэбу, і дадавайце яго свядома, а не выяўляйце падчас дэманстрацыі.
Выбар для кожнай праграмы не замяняе ўласную палітыку маршрутаў злучэння. Профіль па-ранейшаму павінен несці прэфіксы прызначэння і сем’і адрасоў, якія выкарыстоўвае праграма, а шлюз павінен дазваляць сэрвіс. Правільна ўнесеная ў спіс праграма з недасяжным прызначэннем выглядае гэтак жа, як няправільна наладжаны спіс.
Праверце абодва бакі, потым запішыце палітыку
Праверце адзін новы запыт у праграме, уключанай у спіс, і адзін у праграме, якая павінна застацца звонку. Параўнайце адрас выхаду і доступ да прыватнага рэсурсу, затым паўтарыце пасля перападключэння. Калі ваша арганізацыя выкарыстоўвае палітыку Android «блакаваць злучэнні без VPN», выключаная праграма можа быць заблакавана цалкам замест прамога выхаду; гэта праца палітыкі, а не дэфект, які трэба абыходзіць.
Запішыце рэжым, назвы пакетаў з іх профілем, якія праграмы павінны абыходзіць тунель, якія сем’і адрасоў нясе тунель і што павінна адбывацца, калі тунель не працуе. Калі кліент не можа дакладна выразіць працэс, выберыце шырэйшы зацверджаны набор праграм або палітыку кіраванага профілю замест рэдагавання правілаў міжсеткавага экрана на ўзроўні кораня, што не з’яўляецца часткай падтрымліваемага Android механізму для кожнай праграмы.