Pracovní aplikace vyžaduje VPN? Nejdřív zkontrolujte tyto tři vrstvy

Zpráva říká, že aplikace potřebuje VPN, ale obvykle hlásí příznak, místo aby pojmenovala věc, která ji zablokovala. Tu větu mohou vytvořit tři různí vlastníci: soukromá služba, se kterou aplikace komunikuje, vlastní kód zásad aplikace a vrstva správy zařízení, která řídí pracovní profil. Který z nich se ptá, mění to, co byste měli udělat, a jen jeden ze tří se opraví připojením tunelu. Když nejdřív najdete vlastníka, ušetříte si přeinstalaci klienta, který nikdy nebyl problémem.

Co může aplikace zkontrolovat sama

Než budete předpokládat skryté pravidlo platformy, pamatujte, že běžná aplikace dokáže zjistit, zda je transport VPN aktivní. ConnectivityManager hlásí sítě nesoucí TRANSPORT_VPN a absence NET_CAPABILITY_NOT_VPN říká každému volajícímu, že aktuální cesta je tunelovaná. Vývojář, který chce odmítnout běh mimo tunel, to může udělat pomocí veřejných API a zcela bez podnikových nástrojů.

Co aplikace tímto způsobem nevidí, je čí VPN to je. Příznak transportu říká, že tunel existuje, ne že končí tam, kde vaše organizace očekává.

Cesta služby: soukromá jména a adresy

Nejčastější poctivá verze zprávy není vůbec kontrola zásad. Aplikace překládá interní název hostitele, například wiki nebo koncový bod API, který existuje jen v podnikovém pohledu DNS, a vyhledání selže dřív, než se spustí jakýkoli kód zásad. Tunel může být zapnutý a propouštět běžný internetový provoz, zatímco rozdělené DNS posílá ten název resolveru, který o něm nikdy neslyšel.

Příznaky jsou tu úzké. Jeden hostitel selže, ostatní síťová volání aplikace fungují a selhání se objeví během vyhledávání názvu, ne při spuštění. Interní certifikáty přidávají druhý režim selhání, protože aplikace připnutá k CA organizace odmítne veřejný certifikát, i když pakety proudí.

Připojení náhodné komerční VPN nic z toho neopraví. Změní vaši výstupní adresu a interní název zůstane stejně neřešitelný.

Vrstva zásad aplikace

Aplikace může mít i vlastní bránu. Spravované konfigurace umožňují organizaci posílat páry klíč a hodnota, které aplikace deklaruje, a aplikace je čte přes RestrictionManager. Klíč, jako je požadovaný název profilu nebo seznam povolených sítí, je zcela návrhem vývojáře a vynucuje se v kódu aplikace s tím textem chyby, který si tento kód zvolí.

Tato vrstva je místo, kde se formulace obvykle prozradí. Pokud se zpráva objeví okamžitě při spuštění, před jakýmkoli síťovým voláním, a zmiňuje zásadu, profil nebo správce, pravděpodobně se díváte na logiku aplikace, ne na zahozený paket.

Číst stejné omezení na osobním zařízení je slepá ulička. Nespravovaná zařízení nemají žádná omezení ke čtení, takže aplikace spadne zpět na jakoukoli výchozí hodnotu, se kterou byla postavena.

Vrstva platformy: stálé připojení a uzamčení

Správa zařízení přidává vynucení, které aplikace nemůže obejít. Kontroler zásad zařízení může pro pracovní profil zavolat setAlwaysOnVpnPackage, volitelně se zapnutým uzamčením, a jakmile je uzamčení zapnuté, platforma odmítá provoz, který neprochází tímto balíčkem. Blokace je vidět jako systémový stav, ne jako chyba aplikace: ostatní aplikace v profilu také přestanou dosáhnout na síť.

Rozsah je důležitý. Stálá VPN se konfiguruje pro každého uživatele, takže balíček pracovního profilu nepokrývá váš osobní profil a osobní VPN neuspokojí balíček pracovního profilu. Dva profily, dvě nezávislé síťové zásady, jedno zařízení.

To je také jediná vrstva, kde nesouvisející VPN nemůže pomoci, protože zásada jmenuje jeden konkrétní balíček.

Jak ty tři rozlišit

Projděte signatury v pořadí a zastavte u první, která sedí. Jeden název hostitele selhává, zatímco vše ostatní se přeloží, ukazuje na cestu služby. Okamžité odmítnutí při spuštění s formulací zásad ukazuje na logiku aplikace. Celý profil ztrácí připojení, kdykoli se odpojí schválený klient, ukazuje na uzamčení. A aplikace, která přijme jakýkoli tunel, kontroluje příznak transportu, ne identitu vaší organizace.

Užitečné důkazy: přesný text a jeho načasování, zda ostatní aplikace ve stejném profilu stále mají připojení, zda se soukromý název přeloží uvnitř schváleného tunelu a zda zařízení zobrazuje pracovní odznak pro aplikaci, kterou jste otevřeli.

Co uvést do žádosti o podporu

Žádost, která pojmenuje vrstvu, je správně směrována na první pokus. Něco jako: aplikace pracovního profilu se otevře, seznam zdrojů selže po připojení schválené VPN, překlad soukromého názvu selže v povolené diagnostice a ostatní aplikace v profilu dál fungují. To se čte jako problém trasy nebo resolveru a přeskočí smyčku resetu účtu.

Pokud schválená VPN úplně chybí, podporovanou cestou je registrace nebo opětovné zřízení přes vašeho správce. Odebrání profilu správy, instalace nesouvisejícího klienta nebo falšování síťového stavu mění bezpečnostní uspořádání, místo aby je obnovilo.

Začněte vrstvou, ne klientem. Tři signatury výše to obvykle vyřeší během jedné relace.