Отметнахте едно приложение в OpenVPN? Решава базовата настройка на списъка
Един и същ отметнат пакет означава включване или изключване в зависимост от базовата настройка на списъка. Първо изберете „само включените“, свържете се отново, после тествайте целия работен процес.
Отметката изглежда като цялото решение, а на Android не е. Един и същ отметнат пакет означава „само това приложение използва VPN“ при база „само включените“ и „това приложение заобикаля VPN“ при база „изключи избраните“. Хората инсталират клиент, намират списък с надпис „Разрешени приложения“, отбелязват единствения пакет, който ги интересува, и си тръгват с политика, която прави обратното. Смяната на клиент рядко помага; изборът на база преди да пипнете списъка – помага.
Политиката е базата, не отметката
Чрез VpnService на Android клиентът настройва маршрутизиране за всяко приложение чрез addAllowedApplication или addDisallowedApplication. Първият ограничава тунела до изброените пакети, вторият прекарва през тунела всичко освен тях. Клиентите обвиват двете в интерфейс, който може да изглежда почти еднакъв, а някои именуват раздела по списъка, а не по режима, така че заглавието на раздела само по себе си не може да каже коя база е активна.
Четете управлението на режима над списъка, не заглавието. В оригиналния клиент OpenVPN for Android списъкът с разрешени приложения има база „само включените“ и база „изключи избраните“, а маркова сборка може да формулира двете различно, запазвайки същите две поведения. Екранна снимка от друг клиент или от по-стара версия на същия не е доказателство за режима, в който се намирате.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Тази таблица е целият мит. Отбелязването на приложението е твърдение за един пакет; базата решава дали твърдението е „включи го“, или „изключи го“.
Първо режимът, после пакетът
Работете в този ред, защото избор, направен при една база, може да преживее смяна на режима и тихо да обърне ефекта си:
- Определете истинския пакет и дали е копието за личния или за работния профил.
- Отворете настройките за избор на приложения за точно този VPN профил, с който се свързвате.
- Задайте базата със значение „само избраните приложения използват VPN“.
- Включете желания пакет и оставете несвързаните приложения извън набора.
- Свържете се отново, за да може клиентът да изгради интерфейса с новия списък.
Профилът е също толкова важен, колкото пакетът. Клиентът може да държи няколко профила и изборът за всяко приложение принадлежи на този, с който реално се свързвате; редакцията на профил, който никога не използвате, не променя нищо. На управлявано устройство работният профил е отделен потребител със свое копие на приложението и своя политика, така че това, че личният екземпляр е в тунела, не казва нищо за работния екземпляр.
Свържете се отново, преди да съдите за резултата
VpnService чете списъците с приложения при установяване на интерфейса на тунела. Работещ тунел не непременно поема промяна в списъка, а клиентите се различават по това дали се преизграждат автоматично, или чакат да прекъснете и свържете отново.
Ако промяната изглежда да не прави нищо, тествайте повторното свързване, преди да се съмнявате в списъка. После направете нова заявка, вместо да презареждате вече отворена страница: приложение, което поддържа установена връзка, е лош тестов обект и резултатът, който виждате, може да принадлежи на стария интерфейс.
Работният процес може да излезе от приложението
Приложение може да предаде към браузър за вход, програма за документи или цел за споделяне. При база „само включените“ тези помощници са извън тунела, така че работен процес може да се провали по средата, дори първото приложение да е конфигурирано правилно. Включете помощника само ако работният процес наистина се нуждае от него, и го добавяйте нарочно, вместо да го откривате по време на демонстрация.
Изборът за всяко приложение също не заменя собствената маршрутна политика на връзката. Профилът все още трябва да носи префиксите на дестинациите и семействата адреси, които приложението използва, а шлюзът все още трябва да разрешава услугата. Правилно включено в списъка приложение с недостижима дестинация изглежда същото като неправилно конфигуриран списък.
Тествайте двете страни, после запишете политиката
Тествайте една нова заявка във включеното приложение и една в приложение, което се очаква да остане отвън. Сравнете изходния адрес и достъпа до частен ресурс, после повторете след повторно свързване. Ако организацията ви използва политиката на Android за блокиране на връзки без VPN, изключено приложение може да бъде блокирано напълно, вместо да излезе директно; това е работещата политика, а не дефект, който да се заобикаля.
Запишете режима, имената на пакетите с профила им, кои приложения трябва да заобикалят, кои семейства адреси носи тунелът и какво трябва да се случи, когато тунелът не работи. Ако клиентът не може да изрази работния процес чисто, изберете по-широк одобрен набор приложения или политика за управляван профил, вместо да редактирате правила на защитната стена на коренно ниво, което не е част от поддържания от Android механизъм за всяко приложение.