Чаму VPN для асобных праграм не ахоплівае працоўную копію праграмы Android

Адна праграма з’яўляецца на тэлефоне з працоўным профілем двойчы, і гэтыя дзве копіі — не адзін і той жа суб’ект. VPN для асобных праграм, наладжаны ўнутры аднаго кантэксту, кіруе экзэмплярам гэтага кантэксту, таму правіла, якое называе пакет, усё роўна можа пакінуць іншую копію некранутай. Гэта не памылка, якую трэба абыходзіць, а мяжа профілю, што робіць менавіта тое, для чаго яна створана. Пытанне, на якое варта адказаць: які кантэкст валодае VPN, а які — праграмай, якую вы спрабуеце абараніць.

Адна іконка, дзве ўсталёўкі, два ўладальнікі палітыкі

Android дае працоўнаму профілю ўласны кіраваны кантэкст з асобнымі праграмамі, уліковымі запісамі і палітыкай, таму лаўнчар можа паказаць два запісы са агульнай назвай і значком. Служба VPN, запушчаная ў адным кантэксце, працуе для карыстальнікаў гэтага кантэксту, і гэта механізм, які ляжыць у аснове ўсёй праблемы. Іконка кажа, якую праграму вы націснулі, а не да якога профілю належыць атрыманы трафік. Таму ўладальніка трэба чытаць з профілю, а не з малюнка.

Арганізацыя таксама можа прымусова ўключыць рэжым пастаяннага падключэння або блакаванне без VPN для кіраванага боку, што змяняе паводзіны, калі тунель недаступны. Асабісты бок такой гарантыі не мае, калі вы не пабудавалі яе самі.

Што насамрэч азначае спіс дазволеных праграм

Падтрымка VPN для асобных праграм у Android пабудавана на спісах, што апісана ў кіраўніцтве па карыстальніках VPN і працоўных профілях і у двух тыпаў спісаў процілеглыя значэнні па змаўчанні. Спіс дазволеных праграм азначае, што тунель выкарыстоўваюць толькі названыя пакеты, а ўсё астатняе выключана, тады як спіс забароненых праграм азначае, што ўключана ўсё, акрамя названых пакетаў. Пераблытайце гэта, і вы пабудуеце процілегласць задуманай палітыцы, хоць экран налад яшчэ выглядае праўдападобна. Спіс ацэньваецца ў тым кантэксце, дзе працуе VPN, таму імя пакета, прысутнае ў абодвух профілях, збягаецца толькі з копіяй у гэтым кантэксце. Пакет, не пазначаны ў іншым профілі, проста не датычыцца гэтага VPN.

Запішыце паводзіны для двух-трох праграм, якія важныя, бо розніца паміж «усё акрамя» і «толькі гэтыя» вырашае, ці асабістая праграма працячэ міма тунеля, ці адмовіць у закрытым рэжыме. Невялікая табліца тут лепшая за абзац: адзін радок на профіль, з тыпам спісу і значэннем па змаўчанні для ўсяго астатняга.

Які бок вядзе тунель і пад чыёй палітыкай

Спажывецкі VPN не здымае сродкаў кантролю арганізацыі з кіраванага профілю, а VPN працоўнага профілю не з’яўляецца агульным тунелем для асабістых праграм. Калі арганізацыя патрабуе ўласны кліент для кіраваных праграм, асабісты кліент — гэта асобная дамоўленасць з уласнай палітыкай і ўласнымі рэжымамі адмовы. Вырашыце, які механізм павінен несці які трафік, перш чым параўноўваць вынікі, інакш вы вымяраеце дзве сістэмы і называеце розніцу памылкай. Унутры свайго кантэксту кіраваны бок звычайна перамагае, і гэта задуманыя паводзіны.

Нязручны выпадак — кіраваная праграма, якой патрэбны маршрут, якога кіраваная палітыка не дае. Гэта запыт на выключэнне да арганізацыі, а не прычына выключаць працоўны профіль.

Тэставанне таго экзэмпляра, які вы сапраўды мелі на ўвазе

Запусціце патрэбную вам копію і паглядзіце на запыт знутры, бо праверка публічнага адрасу ў асабістым браўзеры нічога не кажа пра працоўную праграму. Праверце асобна ўліковы запіс, пад якім выкананы ўваход, і ўнутранае развязанне імёнаў, паколькі ўнутранае імя можа залежаць ад кіраванага маршруту, пакуль публічны прагляд ідзе ў іншым месцы. Пазначце, якая копія дала які вынік у момант тэсту, і ўкажыце профіль у подпісе; скрыншот з дзвюма аднолькавымі іконкамі не з’яўляецца доказам. Паўтарыце праверку пасля перападключэння і пасля перастварэння профілю, бо палітыка можа ўжыцца зноў.

Калі вы не можаце сказаць, якая копія адказала, выпраўце маркіраванне, перш чым рабіць выснову. Неадназначны вынік горшы за яго адсутнасць, бо пазней яго цытуюць так, нібыта ён вырашыў пытанне.

Дакументаванне ахопу, каб наступны тэст выжыў

Запісвайце тры факты разам для кожнага кантэксту: экзэмпляр праграмы, уладальніка палітыкі і чаканы ахоп. Гэтага дастаткова, каб наступная асоба ўзнавіла ваш тэст, не ўгадваючы, якую іконку яна запусціла. Дадайце тып спісу і значэнне па змаўчанні для пакетаў, якіх няма ў спісе, бо менавіта гэтую частку найчасцей чытаюць няправільна.

Потым праверце адно ўнутранае імя і адзін знешні адрас з кожнага боку і запішыце, што павінна адбыцца, калі кіраваны бок блакуе асабісты VPN. Тэлефон, на якім ніводзін бок не ахоплены, хоць абодва выглядаюць падключанымі, — гэта тая адмова, супраць якой варта праектаваць. Калі абодвум профілям сапраўды патрэбны тунель, плануйце дзве дамоўленасці замест аднаго хітрага правіла.