Dau VPN ar un ffôn: dewiswch y drefn, nid nifer yr apiau

Nid un cais yw defnyddio dau VPN. Gall olygu cyrraedd dau sefydliad un ar ôl y llall, cadw apiau gwaith a phersonol ar wahân, neu redeg un twnnel y tu mewn i un arall. Mae Android yn trin y tri achos hyn mewn ffyrdd hollol wahanol, ac nid yw nifer yr apiau VPN sydd wedi’u gosod ar y ffôn yn bensaernïaeth. Mae’r cwestiwn sy’n eu gwahanu yn syml: a oes rhaid i ddau lwybr fodoli ar yr un pryd ar gyfer yr un ap?

Tair trefn, un cwestiwn

Os yr ateb yw na, oherwydd bod y ddau rwydwaith yn cael eu defnyddio ar wahanol adegau, rydych chi eisiau newid bwriadol. Os yr ateb yw na oherwydd bod yr apiau eu hunain ar wahân, rydych chi eisiau gwahanu proffiliau, lle mae pob ap yn eistedd yn y cyd-destun sy’n berchen ar ei dwnnel. Os yr ateb yw ie, a bod rhaid i un llwybr gario’r llall yn gorfforol, rydych chi eisiau cadwyn, a dyna’r unig un o’r tri lle mae trefn yn rhan o’r cynllun.

Mae popeth arall yn dilyn o’r dewis hwnnw. Mae gan newid ffenestr bontio, mae gan wahanu ffin bolisi, ac mae gan gadwyn gost gorbenion a chost dibyniaeth. Nid yw dewis yr un anghywir yn methu’n lân; mae’n cynhyrchu ffôn sy’n edrych yn gysylltiedig ac ap na all gyrraedd unrhyw beth.

Newid o fewn un cyd-destun defnyddiwr

Mae Android yn caniatáu un gwasanaeth VPN gweithredol fesul defnyddiwr. Mae lansio ail ap VPN yn yr un cyd-destun yn disodli’r cyntaf neu’n cael ei wrthod yn syth; nid yw byth yn cyfuno’r ddau set llwybr, ac yn sicr nid yw’n pentwr eu hamgryptiad. O fewn un defnyddiwr, mae dau dwnnel yn ddilyniant, nid yn swm.

Mae hynny’n ymarferol pan fo mynediad yn wirioneddol ddilynol. Enwch y proffiliau fel bod yr un gweithredol yn amlwg, gorffennwch unrhyw beth sensitif cyn newid, a disgwyliwch ffenestr fer lle nad yw’r un o’r ddau lwybr wedi’i sefydlu’n llawn. Nid yw cau tab porwr yr un peth â diweddu sesiwn: gall y tab gadw cyflwr ei gyfrif a dim ond anfon y cais nesaf dros y rhwydwaith newydd ei ddewis, a dyna’n union y gollyngiad y mae pobl yn sylwi arno wedyn.

Yr hyn na all newid ei roi i chi yw peiriant sydd ar y ddau rwydwaith ar yr un pryd. Os oes angen cyfeiriad preifat ar ap o bob ochr, ni fydd unrhyw ddisgyblaeth cleient yn ei gynhyrchu.

Gwahanu yn ôl proffil

Mae proffil gwaith a reolir yn ddefnyddiwr ar wahân gyda’i apiau, ei stôr allweddi a’i bolisi rhwydwaith ei hun. Gall cleient post gwaith ddefnyddio twnnel y sefydliad tra bo porwr personol yn defnyddio un personol, a gall y ddau fod wedi’u cysylltu ar yr un pryd oherwydd nad ydynt yn yr un cyd-destun yn cystadlu am y slot.

Y gwahanu hefyd yw’r terfyn. Nid yw’r porwr personol yn benthyg twnnel gwaith, nid yw’n gweld ôl-ddodiaid DNS gwaith ac nid yw’n cyrraedd rhwydwaith gwaith dim ond oherwydd bod y ddau wasanaeth yn ymddangos fel petaent wedi’u cysylltu. Pan fydd rhywun yn adrodd nad yw dolen yn agor, gwiriwch pa gopi o’r ap a’i trinodd a pha broffil sy’n berchen ar y cyfrif hwnnw cyn cyffwrdd ag unrhyw un o’r ddau VPN.

Triniwch y ffin fel un sefydlog. Mae creu ail broffil neu dynnu proffil gwaith er mwyn osgoi penderfyniad llwybro cyflogwr yn dinistrio’r union wahanu a wnaeth y drefn yn gweithio, ac ar ddyfais a reolir mae fel arfer yn doriad polisi yn hytrach na thwtio cyfluniad.

Cadwyn, lle mae trefn yn gynllun

Cadwyn yw’r drefn y mae pobl fel arfer yn ei hystyried pan fyddant yn dweud y ddau ar unwaith: mae twnnel y ffôn yn teithio y tu mewn i dwnnel y llwybrydd. Gall weithio, ac mae’r cyfyngiadau’n benodol. Rhaid i’r darparwr allanol ganiatáu llwybr gweithio i bwynt terfyn VPN y ffôn, sydd ar gyfer protocolau sy’n seiliedig ar UDP yn golygu na chaiff y gwasanaeth allanol rwystro na throthlenni’r traffig hwnnw.

Deallwch pwy sy’n gweld beth. Mae’r darparwr allanol yn gweld cysylltiad tuag at y pwynt terfyn mewnol. Mae’r darparwr mewnol yn derbyn traffig y ffôn o’r allanfa allanol ac yn ei anfon ymlaen. Mae’r cyrchfan terfynol fel arfer yn gweld allanfa’r gwasanaeth mewnol, ac nid oes unrhyw ddarparwr ar hyd y gadwyn yn ddall; mae cyfrifon apiau yn dal i adnabod y defnyddiwr waeth beth fo’r llwybr.

Disgwyliwch gostau ymarferol. Mae pob haen yn ychwanegu encapswleiddiad, felly mae’r MTU effeithiol yn gostwng ac mae gwerth a oedd yn iawn ar gyfer un twnnel nawr yn darnio neu’n stondio nes bod MTU’r twnnel mewnol yn cael ei osod yn geidwadol. Mae dwy haen hefyd yn golygu dwy ddibyniaeth fethu a dwy set o negeseuon cadw’n fyw, ac mae twnnel mewnol sy’n seiliedig ar TCP dros ddolen allanol â cholled yn gallu stondio mewn ffyrdd sy’n edrych fel gweinydd marw.

Yn bwysicaf oll, nid yw cadwyn yn uno dau rwydwaith preifat. Mae llwybrau, rhagddodiaid sy’n gorgyffwrdd, datrysiad DNS a rheolau mynediad yn parhau’n benderfyniadau ar wahân, ac nid yw llwybrydd sy’n cario un VPN tra bo ffôn yn cario un arall yn rhoi’r ddau ofod cyfeiriad i’r ffôn.

Gwiriwch y cynllun cyn ei ddadfygio

Ysgrifennwch y drefn mewn un frawddeg a’i phrofi yn erbyn yr ap a fethodd. Dylai mynediad dilynol ddangos un twnnel ar y tro; dylai gwahanu proffiliau ddangos pob ap yn ei ddefnyddiwr ei hun; dylai cadwyn ddangos y twnnel mewnol yn sefydlu dros ryngwyneb allanol yn hytrach na’r un corfforol.

adb shell ip -br addr
adb shell ip route get 10.20.0.8
adb shell dumpsys connectivity | grep -i vpn

Os yw’r chwiliad llwybr yn enwi’r rhyngwyneb corfforol tra bo ap yn disgwyl y twnnel, mae’r cynllun a chyd-destun yr ap yn anghytuno, ac ni fydd unrhyw ap VPN ychwanegol yn eu cysoni. Mae’r dogfennaeth ar broffiliau a reolir yn ymdrin â’r rheolau gwahanu os oes angen manylion polisi arnoch yn hytrach na manylion llwybro.