Mae proffiliau IKEv2 VPN Android yn perthyn i bob defnyddiwr, nid i bob dyfais

Mae’r ymadrodd VPN adeiledig yn Android yn cwmpasu dau beth heb gysylltiad: gweithrediad protocol y mae’r platfform yn ei redeg ar eich rhan, a’r ffurf gosodiadau y penderfynodd y gwneuthurwr ei dangos. Nid yw’r rhain yr un gwrthrych, ac nid yw’r naill na’r llall yn gwarantu bod y twmnel yn perthyn i’r defnyddiwr y mae ei apiau ei angen. Mae’r ddarpariaeth yn digwydd mewn defnyddiwr penodol gyda phecyn galw penodol, ac mae popeth sy’n dilyn yn etifeddu’r cyd-destun hwnnw. Darllenwch y gadwyn berchnogaeth cyn y sgrin osodiadau.

Beth mae’r platfform yn ei adeiladu i chi

Ers Android 11 mae’r platfform yn datgelu darpariaeth VPN drwy VpnManager. Mae ap a gymeradwywyd yn disgrifio proffil IKEv2, a’r platfform ei hun sy’n rhedeg y cyfnewid IPsec ac IKE, felly nid yw’r ap byth yn cyffwrdd â phecynnau. Dyma’r gwahaniaeth sylweddol oddi wrth ap VPN cyfaddas, sy’n gweithredu VpnService ac yn adeiladu’r twmnel yn ei broses ei hun.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

Braslun o’r siâp yw’r alwad uchod, nid bloc i’w gopïo: mae gan y builder sawl amrywiad dilysu, maent yn wahanol yn ôl lefel API, ac mae’r proffil hefyd yn cario deunydd ymddiriedaeth tystysgrif y gweinydd. Ar gyfer y cwestiwn perchnogaeth, mae’r hyn sy’n bwysig yn dynnach na’r gystrawen.

Daw dwy nodwedd o’r dyluniad hwn. Data yw’r proffil, felly gall gweinyddwr ei ddarparu yn lle ei deipio â llaw. A rhwydwaith platfform yw’r twmnel, felly mae’n ymddangos i apiau fel rhwydwaith â chludiant VPN, nid fel soced ap arall.

Y defnyddiwr yw’r perchennog, yna’r pecyn

Mae aml-ddefnyddiwr Android yn wahanu gwirioneddol, nid yn label. Mae proffil gwaith yn ddefnyddiwr ar wahân gyda’i becynnau gosodedig ei hun, ei ddata apiau, ei storfa allweddi a’i angorau ymddiriedaeth. Mae’r un cynnyrch wedi’i osod yn y ddau le yn ddwy enghraifft â dynodwyr defnyddiwr gwahanol, hyd yn oed pan fo’r eiconau lansiwr a’r enwau cynnyrch yr un fath.

Cofnodir y ddarpariaeth yn erbyn y pecyn galw yn y defnyddiwr hwnnw. Felly mae ap darparu sy’n rhedeg yn y proffil personol yn creu twmnel personol, ac nid yw apiau gwaith y proffil gwaith yn gweld dim ohono. Mae’r gwrthwyneb hefyd yn wir, a dyna pam mae twmnel proffil gwaith yn anweledig i apiau personol heb bolisi clir yn dweud fel arall.

Gall rheolwr polisi dyfais ddarparu ar ran proffil a reolir, sy’n esbonio’r cofnod nad oes neb yn y swyddfa yn cofio ei greu. Os ydych yn archwilio ffôn, hwnnw yw perchennog tebygol proffil llwyd, ac nid eich lle chi yw ei ddileu fel arbrawf.

Tair porth cyn i becyn symud

Y borth gyntaf yw awdurdod: rhaid i reolaeth ganiatáu VPN o gwbl, ac mae rhai gosodiadau yn cyfyngu’r math yn ogystal â’r bodolaeth. Yr ail yw hunaniaeth: rhaid i dystysgrif y cleient neu’r manylion mewngofnodi fod ar gael yn y defnyddiwr sy’n berchen ar y proffil, oherwydd nid yw tystysgrif a fewnforiwyd i’r storfa bersonol yn weladwy i’r proffil gwaith.

Y drydedd yw cydsyniad a pholisi. Mae defnyddiwr fel arfer yn cymeradwyo’r cysylltiad y tro cyntaf y’i defnyddir, a gall gweinyddwr ei binio hefyd fel un bob amser ymlaen, yn ddewisol gyda chlo fel na all y traffig fynd y tu allan i’r twmnel. Mae’r gosodiadau hynny’n penderfynu beth sy’n digwydd pan fydd y twmnel i lawr, a dyna’r rhan y mae defnyddwyr yn sylwi arni.

Cwmpas yw’r man lle mae’r tair yn cyfarfod. Mae’r proffil yn pennu’r porth a’r hunaniaeth, tra bod haen y polisi yn penderfynu pa apiau a gaiff ddefnyddio’r twmnel ac a yw’r traffig yn cael ei orfodi drwyddo. Felly gall dau ffôn ag un cyfeiriad porth fod yn ymddwyn yn dra gwahanol.

Pam nad yw cysylltiad personol yn cwmpasu apiau gwaith

Mae traffig o ap gwaith yn cael ei gynhyrchu yn y defnyddiwr gwaith, a’r polisi rhwydwaith sy’n gymwys yw’r un yn y defnyddiwr hwnnw. Nid yw twmnel a sefydlwyd yn y proffil personol yn ei gario, waeth pa mor iach y mae’r dangosydd yn edrych. Mae’r un ffaith honno’n esbonio rhan fwyaf o’r adroddiadau lle mae defnyddiwr yn tyngu bod y VPN wedi cysylltu ac un ap penodol yn dal i fethu cyrraedd gwasanaeth mewnol.

Mae datrys enwau yn dilyn yr un ffin. Mae ôl-ddodiaid DNS preifat ac angorau ymddiriedaeth fesul defnyddiwr, felly gall enw gwesteiwr mewnol sy’n datrys yn y proffil personol fethu yn y proffil gwaith hyd yn oed gyda thwmnel sy’n edrych yn gyfatebol, oherwydd bod polisi’r datryswr a’r storfa CA yn wrthrychau gwahanol.

Gwiriwch ar gofrestriad go iawn, nid ar ffôn labordy

Ar y ddyfais, nodwch berchennog y cofnod yn gyntaf: pa ddefnyddiwr, pa becyn, ac a ddaeth y proffil oddi wrth ddarparwr y platfform neu oddi wrth ap sy’n gweithredu ei wasanaeth VPN ei hun. Yna cadarnhewch fod yr hunaniaeth y mae’r proffil yn ei disgwyl yn bresennol mewn gwirionedd yn storfa allweddi’r defnyddiwr hwnnw.

Profwch y cylch bywyd, nid y cysylltiad yn unig. Mewngofnodwch, datgloewch y storfa fanylion, gadewch i’r proffil gwaith gysgu dros nos, yna dewch ag ef yn ôl a gwiriwch fod y twmnel yn dychwelyd heb dagiad â llaw. Mae proffil gwaith sy’n diffodd ar ôl oriau yn mynd â’i dwmnel gydag ef, ac ymddygiad disgwyliedig yw hynny ac nid nam, ar yr amod bod y cyflwr anghyraeddadwy disgwyliedig wedi’i ysgrifennu.

Yn olaf, profwch yr ap gwaith ei hun yn erbyn pwynt terfyn mewnol hysbys a’i gymharu â chanlyniad y proffil personol. Caniateir i’r ddau fod yn wahanol; yr hyn na chaiff fod yn wahanol yw’r model perchnogaeth. Os yw’r twmnel yn perthyn i’r defnyddiwr anghywir, ni fydd ailgyhoeddi tystysgrifau yn ei drwsio.

Peidiwch â gorfodi’r mater drwy lansio gweithgareddau gosodiadau cudd i ddangos dewislen, a pheidiwch â chopïo allweddi preifat rhwng proffiliau i wneud i gysylltiad ymddangos. Mae cyfeirlyfr VpnManager yn dogfennu’r hyn y caiff galwr ei ddarparu; os nad yw’r llwybr cymeradwy yn cynnwys eich achos, penderfyniad i’r gweinyddwr yw hynny, nid problem osodiadau.