Забрана на VPN конфигурацията в Android: контролен списък за внедряване

Някой ви моли да спрете хората да конфигурират собствен VPN на управлявани устройства с Android. Изкушаващият отговор е правило на защитна стена, блокиращо няколко познати порта. Този отговор пропуска как работи платформата и как всъщност се свързват приложенията.

Поддържаната мярка е ограничение за управление на устройството или профила, който притежавате, и то има ясен обхват, поведение, зависещо от версията, и изключение, което трябва да конфигурирате нарочно.

Преминете през петте проверки по-долу по ред. Всяка може да обезсили плана, затова спрете на първата, която не се издържа.

Проверка 1: решете какво означава пълна липса на VPN

Зад едно и също изречение се крият две изисквания. Едното е, че никой потребител не може да създаде собствен VPN. Другото е, че може да работи само одобреният VPN на организацията. И двете са законни и водят до различни конфигурации, различни истории за поддръжка и различни режими на отказ.

Запишете кое от двете купувате, преди да докоснете конзола за управление. Ако целта е един одобрен тунел за всички, внедрявате одобрен път със забрана около него; ако целта е изобщо без тунели, трябва да приемете също, че пътищата за отдалечен достъп и отстраняване на неизправности се променят.

Сбъркате ли тук, внедряването изглежда работещо, но тихо отрязва VPN, от който зависи експлоатацията; обикновено го открива дежурният в неподходящ час.

Проверка 2: потвърдете правомощията, които наистина имате

Android предоставя ограничението чрез UserManager.DISALLOW_CONFIG_VPN, документирано в справката за UserManager. То предотвратява конфигурирането и стартирането на VPN и не е настройка, която обикновено приложение може да приложи към себе си или към други приложения.

Прилага се от упълномощен администратор: собственик на устройството за цялото устройство или собственик на профила за управлявания профил, като същите правомощия са достъпни за собственик на профил в управлявания профил. Ако вашият EMM не може да действа като един от тях, нямате тази мярка и никаква конфигурация на политики в конзолата няма да я създаде.

Обхватът е също толкова важен, колкото правомощията. Ограничение, приложено към работен профил, управлява този профил, а не личната част на същия телефон. Да описвате това като контрол над всичко, което прави потребителят, е неточно и ще бъде проверено от първия, който инсталира VPN в личния профил и види, че работи.

Проверка 3: познавайте поведението според версията

Ограничението се е променяло между изданията и разликите определят какво всъщност ще прави внедряването ви на устройствата на терен.

Редът за API 31 е този, който изненадва хората по средата на внедряването: на тези устройства налагането не е козметично, то прекъсва тунел, който вече е работил. Планирайте го като видимо събитие, а не като тиха промяна на настройки.

Редът за API 24 е този, който ви спасява: VPN за постоянна връзка, конфигуриран от собственика, оцелява след ограничението и точно така одобреният път остава достъпен изобщо.

Проверка 4: запазете одобрения път работещ

Конфигурирайте и тествайте VPN за постоянна връзка на организацията преди да наложите ограничението, а не след това. Ако наложите първо, устройствата губят тунела и инструментите, с които бихте ги диагностицирали, едновременно.

Проверете три неща изрично: че VPN за постоянна връзка се създава от собственика, а не от потребителя; че стартира на тези устройства след налагането; и че оцелява след рестарт. Тунел, който се вдига само ръчно, не е одобрен път, а опашка от заявки за поддръжка.

Пазете път за възстановяване, който не зависи от това тунелът да работи. Конзола за управление, локален администраторски път или извънлентов канал — всички вършат работа. Не върши работа допускането, че можете да поправите счупена политика през връзката, която политиката току-що е изключила.

Проверка 5: проверете, после опишете границата честно

Тествайте с реално устройство и реален акаунт. Потвърдете, че потребител не може да добави или стартира VPN; потвърдете, че одобреният тунел се свързва и пренася трафик; и потвърдете, че личният профил се държи както е документирано. Тези три резултата са критериите за приемане.

После внимавайте какво твърдите. Ограничението управлява възможността за VPN в Android. То не превръща всяка разрешена връзка в инспектиран протокол и не спира приложение да насочва собствените си заявки през явен прокси. Блокирането на UDP 500, UDP 4500 и един OpenVPN порт не е същата мярка, защото трафикът може да минава по много транспортии, включително обикновено изглеждащ HTTPS.

Ако изискването е по-широко от възможността за VPN, съчетайте това с политика за разпространение на приложения, контроли на акаунтите и мрежови ограничения, подходящи за средата. И запишете какво остава извън обхвата, за да не повтори някой частично ограничение като пълно в следващия одит.