Ble mae rheol mur tân Android yn gorfod byw pan fo VPN ymlaen
Dim ond un VpnService all fod yn weithredol, felly nid yw ap mur tân ac ap VPN yn pentwr ar ei gilydd. Ewch drwy un cais gwaith a rhowch bob rheol lle mae ei thraffig yn mynd heibio o ddifrif.
Mae gennych un frawddeg o bolisi: caiff yr ap hwn gyrraedd y gwasanaeth gwaith, a dim byd arall. Mae’r cwestiwn nesaf yn edrych fel dewis cynnyrch, ond cwestiwn lleoliad ydyw, oherwydd mae pob man gorfodi posibl yn gweld rhan wahanol o draffig y ffôn. Mae’r porth yn gweld yn unig yr hyn sy’n mynd i mewn i’r twnnel. Mae’r hidlydd ar ochr y ffôn yn gweld yn unig yr hyn y caniateir iddo ei arsylwi. Mae rhedeg un cais drwy’r ddau yn gwneud yr ateb yn amlwg.
Dechreuwch gyda’r frawddeg, nid y cynnyrch
Ehangu’r gofyniad cyn dewis unrhyw beth. Golyga hynny’r pecyn a’r proffil y mae’n rhedeg ynddo, oherwydd mae ap mewn proffil gwaith yn ddefnyddiwr gwahanol i’r un ap mewn proffil personol. Golyga’r gyrchfan: gwesteiwr, porth a phrotocol, nid enw gwasanaeth. Golyga lwybr DNS sy’n datrys yr enw hwnnw, a golyga beth ddylai ddigwydd pan nad yw’r twnnel ar gael.
Wedi’i’i ysgrifennu, mae polisi’r enghraifft yn bedair llinell: caiff yr ap gwaith gyrraedd y gwasanaeth gwaith; ni chaiff gyrraedd dim byd arall; mae apiau eraill yn aros heb newid; heb dwnnel, gwrthodir yr ap gwaith yn hytrach na disgyn i lwybr uniongyrchol. Mae gan bob llinell berchnogwr, ac nid yr un perchnogwr yw pob un.
Cam 1: beth all y ffôn ei hun ei orfodi
Mur tân Android heb root yw VpnService sy’n dal traffig yn lleol, hyd yn oed pan nad oes twnnel pell y tu ôl iddo. Mae Android yn caniatáu un gwasanaeth VPN gweithredol fesul proffil defnyddiwr, felly nid yw ail ap mur tân yn cadwyno y tu ôl i’r cyntaf. Mae’n ei ddisodli, ac mae’r rhyngwyneb y roedd y cyntaf yn ei hidlo yn diflannu.
Dyna pam nad yw gosod mur tân wrth ymyl cleient VPN yn aml yn rhoi’r cyfuniad y mae pobl yn ei ddisgwyl. Os yw’r mur tân yn cychwyn ac mae’r VPN yn datgysylltu, ni chyfunwyd dim; mae’r ddau wedi cyfnewid lle. Nid yw disodli rhyngwyneb yn gydweithrediad, a’r symptom yw twnnel sy’n cwympo’n gyson bob tro y bydd yr ap arall yn agor.
Mae trefniadau a gefnogir yn bodoli: hidlo wedi’i’i adeiladu i mewn i’r cleient VPN rydych yn ei ddefnyddio’n barod, rheolaethau platfform a reolir drwy reolydd polisi’r ddyfais neu broffil gwaith, neu bensaernïaeth y mae’r gwerthwr yn ei dogfennu. Unrhyw beth arall yw arbrawf y mae’n rhaid ei ail-ddilysu ar ôl pob diweddariad ap.
Cam 2: beth all y porth ei orfodi
Unwaith y bydd traffig wedi’i ddadgryptio yn y pen pell, gall y porth gyfyngu pecynnau a anfonir ymlaen i gyfeiriadau, gwasanaethau neu hunaniaethau VPN dilysedig a gymeradwywyd. Mae hynny’n orfodaeth wirioneddol ar gyfer popeth sy’n gadael drwyddo, a hwnnw yw’r man cywir i gyfyngu mynediad at is-rwydwaith preifat.
Yr hyn nad yw’n ei gael yw hunaniaeth ap y ffôn sydd ynghlwm wrth bob pecyn IP cyffredin. Mae sawl ap sy’n rhannu un cyfeiriad twnnel yn un goddrych i’r porth, oni bai bod y dyluniad yn rhoi cyfeiriadau ar wahân neu hunaniaethau dilysedig ar wahân iddynt. Felly nid yw rheol fesul defnyddiwr yn y porth yn rheol fesul ap ar y ffôn, beth bynnag yw enw’r consol rheoli.
Cam 3: rhestru’r hyn nad yw byth yn cyrraedd
Nid yw ap a eithrir o’r VPN sy’n cysylltu â dyfais gyfagos byth yn cyrraedd y porth, felly ni all mur tân allan wrthod pecyn na chafodd erioed. Mae’r un peth yn wir am lwybr uniongyrchol anfwriadol yn ystod toriad ac am amlygiad i mewn ar y rhwydwaith mynediad lleol. Ffiniau lleol ydynt yn ôl diffiniad.
Mae’r gwrthwyneb hefyd yn wir: nid yw rheol leol sy’n caniatáu cysylltiad yn rhoi mynediad drwy ACL rhwydwaith preifat y porth. Gall un cais fod yn ddarostyngedig i’r ddwy ffin, ac nid yw bodloni un yn dweud dim am y llall.
Cam 4: neilltuo pob rheol i lwybr
Rhowch y penderfyniad mewn tabl cyn ffurfweddu unrhyw beth, oherwydd y celloedd gwag yw lle mae dyluniadau’n methu.
| Llwybr | Pwy all ei orfodi | Man dall |
|---|---|---|
| Ap gwaith i’r gwasanaeth gwaith, twnnel i fyny | ACL y porth ar gyferiad a gwasanaeth, ynghyd â bloc lleol ar lwybrau eraill | Ni all y porth weld pa ap a anfonodd y pecyn |
| Ap gwaith i gyrchfannau eraill, twnnel i fyny | Hidlydd lleol sy’n ymwybodol o apiau, neu’r porth os yw’r cyrchfannau hynny wedi’u cyfeirio yno | Rhaid i’r hidlydd lleol fod y VpnService gweithredol |
| Ap gwaith heb dwnnel | Gwrthodiad lleol, fel na all yr ap gymryd llwybr uniongyrchol | Mae angen i’r hidlydd oroesi diflaniad y twnnel |
| Dyfais LAN gyfagos | Polisi lleol yn unig | Nid yw’r porth byth yn ei gweld |
Y ffurf sy’n gweithio yw dwy ffin â dwy swydd. Mae ffin leol sy’n ymwybodol o apiau yn llywodraethu ymddygiad y ffôn, gan gynnwys y cwymp uniongyrchol, ac mae ffin y porth yn llywodraethu adnoddau pell. Gall ochr y porth ganiatáu’r gwasanaeth gwaith a gwrthod pob is-rwydwaith preifat arall, tra bod polisi ochr y ffôn yn penderfynu drosto’i hun am lwybr uniongyrchol y gallai’r ap ei gymryd fel arall.
Cam 5: cadwch y cludiant yn fyw, yna dilyswch
Pa bynnag bolisi lleol a ddewiswch, rhaid iddo ganiatáu’r cludiant sy’n sefydlu ac yn cynnal y VPN. Mae blocio’r cludiant hwnnw yn gadael y ffôn heb dwnnel a heb bolisi, nad yw’n gorfodi dim yn gydlynol ac sy’n anodd ei ddiagnosio, oherwydd nid oes gan yr ap rwydwaith o gwbl.
Yna dilyswch bob llinell o’r frawddeg wreiddiol yn hytrach na’r argraff gyffredinol: mae’r ap gwaith yn cyrraedd y gwasanaeth gwaith, gwrthodir yr un ap mewn cyrchfan arall, mae ap nad yw’n waith yn ymddwyn fel o’r blaen, a chyda’r twnnel wedi stopio nid yw’r ap gwaith yn disgyn i gysylltiad uniongyrchol. Gwiriwch lwybr DNS ar wahân, oherwydd gall DNS preifat neu ddatryswr amgryptiedig osgoi hidlydd sy’n archwilio cyfeiriadau yn unig.
Os na ellir bodloni un o’r camau hynny ar y ffôn, cwestiwn pensaernïaeth yw’r gofyniad, nid gosodiad mur tân. Rhannu’r polisi rhwng dyfais rydych yn ei rheoli a phorth rydych yn ei reoli yw’r ateb gonest fel arfer, a’r dogfennau cysylltedd VPN Android yw’r man i gadarnhau beth y bydd y platfform yn ei ganiatau ac na fydd yn ei ganiatau i un gwasanaeth.