Har du markeret én app i OpenVPN? Listens grundlag afgør
Den samme markerede pakke betyder medtagelse eller udeladelse afhængigt af listens grundlag. Vælg først kun-medtag, genopret forbindelsen, og test derefter hele arbejdsgangen.
Afkrydsningsfeltet ser ud som hele beslutningen, og på Android er det ikke. Den samme markerede pakke betyder “kun denne app bruger VPN” under et kun-medtag-grundlag og “denne app springer VPN over” under et udelad-valgte-grundlag. Folk installerer en klient, finder en liste med navnet Tilladte apps, markerer den ene pakke, de bekymrer sig om, og går bort med en politik, der gør det modsatte. At skifte klient hjælper sjældent; at vælge grundlaget, før du rører listen, hjælper.
Grundlaget er politikken, ikke afkrydsningsfeltet
Under Androids VpnService konfigurerer en klient per-app-routing med addAllowedApplication eller addDisallowedApplication. Den første begrænser tunnelen til de angivne pakker, den anden tunnelerer alt undtagen dem. Klienter pakker de to ind i en brugergrænseflade, der kan se næsten identisk ud, og nogle navngiver afsnittet efter listen i stedet for tilstanden, så selve afsnitsoverskriften kan ikke fortælle, hvilket grundlag der er aktivt.
Læs tilstandsstyringen over listen, ikke overskriften. I den oprindelige OpenVPN for Android-klient har listen over tilladte apps både et kun-medtag-grundlag og et udelad-valgte-grundlag, og en brandet version kan formulere begge anderledes og bevare de samme to adfærdsmønstre. Et skærmbillede fra en anden klient eller fra en ældre version af den samme er ikke bevis for den tilstand, du er i.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Den tabel er hele myten. At markere appen er et udsagn om én pakke; grundlaget afgør, om udsagnet er “medtag den” eller “udelad den”.
Vælg tilstanden, derefter pakken
Arbejd i denne rækkefølge, fordi et valg foretaget under ét grundlag kan overleve en tilstandsændring og lydløst vende sin virkning:
- Identificér den rigtige pakke, og om det er den personlige eller arbejdsprofilens kopi.
- Åbn indstillingerne for appvalg for præcis den VPN-profil, du forbinder med.
- Angiv det grundlag, hvis betydning er “kun udvalgte apps bruger VPN”.
- Medtag den tilsigtede pakke, og lad urelaterede apps være uden for sættet.
- Genopret forbindelsen, så klienten genopbygger grænsefladen med den nye liste.
Profilen betyder lige så meget som pakken. En klient kan have flere profiler, og per-app-valget hører til den, du faktisk forbinder med; at redigere en profil, du aldrig bruger, ændrer intet. På en administreret enhed er arbejdsprofilen en separat bruger med sin egen kopi af appen og sin egen politik, så det, at den personlige instans er inde i tunnelen, siger intet om arbejdsinstansen.
Genopret forbindelsen, før du bedømmer resultatet
VpnService læser applikationslisterne, når tunnelgrænsefladen oprettes. En kørende tunnel overtager ikke nødvendigvis en listændring, og klienter er forskellige med hensyn til, om de genopbygger automatisk eller venter på, at du afbryder og forbinder igen.
Hvis ændringen ser ud til ikke at gøre noget, så test genopretningen, før du betvivler listen. Lav derefter en ny anmodning i stedet for at genindlæse en side, der allerede var åben: en app, der holder en etableret forbindelse, er et dårligt testobjekt, og det resultat, du ser, kan tilhøre den gamle grænseflade.
Din arbejdsgang kan forlade appen
En app kan overlade til en browser til login, en dokumentfremviser eller et delingsmål. Under et kun-medtag-grundlag er disse hjælpere uden for tunnelen, så en arbejdsgang kan fejle halvvejs, selv om den første app var konfigureret korrekt. Medtag kun hjælperen, hvis arbejdsgangen virkelig har brug for den, og føj den til bevidst i stedet for at opdage den under en demonstration.
Per-app-valg erstatter heller ikke forbindelsens egen rutepolitik. Profilen skal stadig bære de destinationspræfikser og adressefamilier, som appen bruger, og gatewayen skal stadig tillade tjenesten. En korrekt listet app med en uopnåelig destination ser ud som en fejlkonfigureret liste.
Test begge sider, og skriv derefter politikken ned
Test én ny anmodning i den medtagne app og én i en app, der forventes at forblive udenfor. Sammenlign udgangsadressen og adgangen til en privat ressource, og gentag derefter efter en genopretning. Hvis din organisation bruger Androids politik for at blokere forbindelser uden VPN, kan en udeladt app blive blokeret helt i stedet for at gå direkte; det er politikken, der virker, ikke en fejl, der skal omgås.
Notér tilstanden, pakkenavnene med deres profil, hvilke apps der skal omgå, hvilke adressefamilier tunnelen bærer, og hvad der skal ske, når tunnelen er nede. Hvis klienten ikke kan udtrykke arbejdsgangen rent, så vælg et bredere godkendt appsæt eller en politik for administrerede profiler i stedet for at redigere firewallregler på rodniveau, hvilket ikke er en del af Androids understøttede per-app-mekanisme.