Heu marcat una app a l’OpenVPN? Decideix la base de la llista
El mateix paquet marcat significa incloure o excloure segons la base de la llista. Trieu primer només-incloure, torneu a connectar i després proveu tot el flux de treball.
La casella sembla la decisió sencera, i a Android no ho és. El mateix paquet marcat significa «només aquesta app fa servir la VPN» amb una base de només-incloure i «aquesta app salta la VPN» amb una base d’excloure els seleccionats. La gent instal·la un client, troba una llista anomenada Apps permeses, marca l’únic paquet que li importa i se’n va amb una política que fa el contrari. Canviar de client poques vegades ajuda; triar la base abans de tocar la llista sí que ajuda.
La base és la política, no la casella
Amb el VpnService d’Android, un client configura l’encaminament per app amb addAllowedApplication o addDisallowedApplication. El primer limita el túnel als paquets llistats, el segon encamina tot excepte ells. Els clients emboliquen tots dos en una interfície que pot semblar gairebé idèntica, i alguns anomenen la secció per la llista en lloc del mode, així que el títol de la secció sol no us pot dir quina base és activa.
Llegiu el control de mode que hi ha sobre la llista, no el títol. Al client original OpenVPN for Android, la llista d’apps permeses té una base de només-incloure i una d’excloure els seleccionats, i una compilació de marca pot formular les dues de manera diferent tot mantenint els mateixos dos comportaments. Una captura d’un altre client, o d’una versió anterior del mateix, no és prova del mode en què sou.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Aquesta taula és tot el mite. Marcar l’app és una afirmació sobre un paquet; la base decideix si l’afirmació és «inclou-la» o «exclou-la».
Primer el mode, després el paquet
Treballu en aquest ordre, perquè una selecció feta amb una base pot sobreviure a un canvi de mode i invertir-ne l’efecte en silenci:
- Identifiqueu el paquet real i si és la còpia del perfil personal o del de feina.
- Obriu la configuració de selecció d’aplicacions del perfil VPN exacte amb què us connecteu.
- Definiu la base el significat de la qual és «només les apps seleccionades fan servir la VPN».
- Incloeu el paquet que voleu i deixeu les apps no relacionades fora del conjunt.
- Torneu a connectar perquè el client reconstrueixi la interfície amb la llista nova.
El perfil importa tant com el paquet. Un client pot tenir diversos perfils, i la selecció per app pertany al que realment feu servir per connectar-vos; editar un perfil que no feu servir mai no canvia res. En un dispositiu gestionat, el perfil de feina és un usuari a part amb la seva pròpia còpia de l’app i la seva pròpia política, així que el fet que la instància personal sigui dins del túnel no diu res sobre la instància de feina.
Torneu a connectar abans de jutjar el resultat
El VpnService llegeix les llistes d’aplicacions quan s’estableix la interfície del túnel. Un túnel en funcionament no necessàriament recull una edició de la llista, i els clients difereixen en si reconstrueixen automàticament o esperen que us desconnecteu i torneu a connectar.
Si el canvi sembla no fer res, proveu la reconnexió abans de dubtar de la llista. Després feu una petició nova en lloc de recarregar una pàgina que ja era oberta: una app que manté una connexió establerta és un mal subjecte de prova, i el resultat que veieu pot pertànyer a la interfície antiga.
El vostre flux de treball pot sortir de l’app
Una app pot delegar en un navegador per iniciar sessió, en un visor de documents o en una destinació de compartició. Amb una base de només-incloure, aquests auxiliars són fora del túnel, així que un flux de treball pot fallar a mig camí encara que la primera app estigués ben configurada. Incloeu l’auxiliar només si el flux de treball el necessita de debò, i afegiu-lo deliberadament en lloc de descobrir-lo durant una demostració.
La selecció per app tampoc no substitueix la política d’encaminament pròpia de la connexió. El perfil encara ha de portar els prefixos de destinació i les famílies d’adreces que fa servir l’app, i la passarel·la encara ha de permetre el servei. Una app llistada correctament amb una destinació inabastable sembla el mateix que una llista mal configurada.
Proveu les dues bandes i després escriviu la política
Proveu una petició nova a l’app inclosa i una en una app que hauria de quedar fora. Compareu l’adreça de sortida i l’accés a un recurs privat, i repetiu-ho després d’una reconnexió. Si la vostra organització fa servir la política d’Android de bloquejar connexions sense VPN, una app exclosa pot quedar bloquejada del tot en lloc d’anar directa; això és la política funcionant, no una fallada a evitar.
Registreu el mode, els noms dels paquets amb el seu perfil, quines apps haurien de fer bypass, quines famílies d’adreces porta el túnel i què hauria de passar quan el túnel estigui caigut. Si el client no pot expressar el flux de treball amb claredat, trieu un conjunt d’apps aprovat més ampli o una política de perfil gestionat en lloc d’editar regles de tallafocs a nivell d’arrel, cosa que no forma part del mecanisme per app suportat per Android.