Працоўная праграма патрабуе VPN? Спачатку праверце гэтыя тры ўзроўні

Паведамленне кажа, што праграме патрэбны VPN, але звычайна праграма паведамляе пра сімптом, а не называе тое, што яе заблакавала. Тры асобныя ўладальнікі могуць спарадзіць гэты сказ: прыватная служба, з якой размаўляе праграма, уласны код палітыкі праграмы і ўзровень кіравання прыладай, які кантралюе працоўны профіль. Які з іх пытае змяняе тое, што вам трэба рабіць, і толькі адзін з трох выпраўляецца падключэннем тунеля. Пошук уладальніка спачатку пазбаўляе вас ад пераўсталёўкі кліента, які ніколі не быў праблемай.

Што праграма можа праверыць сама

Перш чым меркаваць пра схаванае правіла платформы, успомніце, што звычайная праграма можа бачыць, ці актыўны транспарт VPN. ConnectivityManager паведамляе пра сеткі з TRANSPORT_VPN, і адсутнасць NET_CAPABILITY_NOT_VPN кажа любому выклікаючаму, што бягучы шлях ідзе праз тунель. Распрацоўшчык, які хоча адмаўляцца працаваць па-за тунелем, можа зрабіць гэта з дапамогай публічных API і наогул без карпаратыўных інструментаў.

Што праграма так не можа бачыць гэта чый гэта VPN. Сцяг транспарту кажа, што тунель існуе, а не што ён сканчаецца там, дзе чакае ваша арганізацыя.

Шлях службы: прыватныя імёны і адрасы

Найбольш распаўсюджаная сумленная версія паведамлення зусім не праверка палітыкі. Праграма вырашае ўнутранае імя хоста, напрыклад вікі або канчатковы пункт API, які існуе толькі ўнутры карпаратыўнага прадстаўлення DNS, і пошук не ўдаецца, перш чым запусціцца хоць які код палітыкі. Тунель можа быць уключаны і прапускаць агульны інтэрнэт-трафік, пакуль падзелены DNS адпраўляе гэтае імя да рэзалвера, які ніколі пра яго не чуў.

Сімптомы тут вузкія. Адзін хост збоіць, астатнія сеткавыя выклікі праграмы працуюць, і збой з'яўляецца падчас пошуку імя, а не пры запуску. Унутраныя сертыфікаты дадаюць другі рэжым збою, бо праграма, замацаваная на CA арганізацыі, адхіляе публічны сертыфікат, нават калі пакеты праходзяць.

Падключэнне выпадковага камерцыйнага VPN нічога з гэтага не выпраўляе. Яно змяняе ваш адрас выхаду і пакідае ўнутранае імя гэтак жа невырашальным.

Узровень палітыкі праграмы

Праграма можа таксама несці ўласную браму. Кіраваныя канфігурацыі дазваляюць арганізацыі прасоўваць пары ключ-значэнне, якія праграма аб'яўляе, і праграма чытае іх праз RestrictionManager. Такі ключ, як патрабаванае імя профілю або спіс дазволеных сетак, цалкам з'яўляецца дызайнам распрацоўшчыка і выконваецца ў кодзе праграмы з любым тэкстам памылкі, які гэты код выбера.

Гэты ўзровень там, дзе фармулёўка звычайна выдае сябе. Калі паведамленне з'яўляецца адразу пры запуску, да любога сеткавага выкліку, і згадвае палітыку, профіль або адміністратара, вы, верагодна, бачыце логіку праграмы, а не страчаны пакет.

Чытанне таго ж абмежавання на асабістай прыладзе тупік. У некіраваных прылад няма абмежаванняў для чытання, таму праграма вяртаецца да любога значэння па змаўчанні, з якім была створана.

Узровень платформы: пастаяннае падключэнне і блакіроўка

Кіраванне прыладай дадае прымус, які праграма не можа пераадолець. Кантролер палітыкі прылады можа выклікаць setAlwaysOnVpnPackage для працоўнага профілю, апцыянальна з уключанай блакіроўкай, і пасля ўключэння блакіроўкі платформа адмаўляе трафік, які не ідзе праз гэты пакет. Блакіроўка бачная як сістэмная ўмова, а не як памылка праграмы: іншыя праграмы ў профілі таксама перастаюць дасягаць сеткі.

Аб'ём мае значэнне. Пастаянны VPN наладжваецца для кожнага карыстальніка, таму пакет працоўнага профілю не ахоплівае ваш асабісты профіль, і асабісты VPN не задавальняе пакет працоўнага профілю. Два профілі, дзве незалежныя сеткавыя палітыкі, адна прылада.

Гэта таксама адзіны ўзровень, дзе не злучаны VPN не можа дапамагчы, бо палітыка называе адзін канкрэтны пакет.

Як адрозніць тры

Прайдзіце подпісы па парадку і спыніцеся на першым, які супадае. Калі адно імя хоста збоіць, а ўсё астатняе вырашаецца, гэта паказвае на шлях службы. Неадчэпны адказ пры запуску з фармулёўкай палітыкі паказвае на логіку праграмы. Калі ўвесь профіль губляе злучэнне кожны раз, калі адключаецца адабраны кліент, гэта паказвае на блакіроўку. А праграма, якая прымае любы тунель, правярае сцяг транспарту, а не ідэнтычнасць вашай арганізацыі.

Карысныя доказы: дакладны тэкст і яго час, ці іншыя праграмы ў тым жа профілі ўсё яшчэ маюць злучэнне, ці вырашаецца прыватнае імя ўнутры адабранага тунеля і ці паказвае прылада працоўны знак для праграмы, якую вы адкрылі.

Што ўпісаць у запыт у падтрымку

Запыт, які называе ўзровень, правільна накіроўваецца з першай спробы. Нешта накшталт: праграма працоўнага профілю адкрываецца, спіс рэсурсаў збоіць пасля падключэння адабранага VPN, вырашэнне прыватнага імя збоіць у дазволенай дыягностыцы, а іншыя праграмы ў профілі працягваюць працаваць. Гэта чытаецца як праблема маршруту або рэзалвера і абыходзіць цыкл скіду ўліковага запісу.

Калі адабраны VPN цалкам адсутнічае, падтрыманы шлях гэта рэгістрацыя або пераналаджванне праз вашага адміністратара. Выдаленне профілю кіравання, усталяванне незлучанага кліента або падробка сеткавага стану змяняе схему бяспекі замест таго, каб яе аднавіць.

Пачніце з узроўню, а не з кліента. Тры подпісы вышэй звычайна вырашаюць гэта за адну сесію.