VPN-Konfiguration auf Android sperren: Checkliste für den Rollout

Jemand bittet Sie, zu verhindern, dass Personen ihr eigenes VPN auf verwalteten Android-Geräten konfigurieren. Die naheliegende Antwort ist eine Firewall-Regel, die einige bekannte Ports blockiert. Diese Antwort verkennt, wie die Plattform funktioniert und wie Anwendungen tatsächlich verbinden.

Die unterstützte Kontrolle ist eine Verwaltungsbeschränkung für das Gerät oder Profil, das Sie besitzen, und sie hat einen ausdrücklichen Geltungsbereich, versionsabhängiges Verhalten und eine Ausnahme, die Sie bewusst konfigurieren müssen.

Arbeiten Sie die fünf Prüfungen unten der Reihe nach durch. Jede kann den Plan ungültig machen, also halten Sie bei der ersten an, die nicht standhält.

Prüfung 1: Entscheiden Sie, was kein VPN bedeutet

Hinter demselben Satz verbergen sich zwei Anforderungen. Die eine ist, dass kein Benutzer ein eigenes VPN erstellen darf. Die andere ist, dass nur das genehmigte VPN der Organisation laufen darf. Beide sind legitim, und sie erzeugen unterschiedliche Konfigurationen, unterschiedliche Support-Geschichten und unterschiedliche Fehlermodi.

Schreiben Sie auf, welche der beiden Sie einkaufen, bevor Sie eine Verwaltungskonsole anfassen. Wenn die Absicht ein einziger genehmigter Tunnel für alle ist, setzen Sie einen genehmigten Pfad mit einem Verbot drumherum um; wenn die Absicht gar keine Tunnel sind, müssen Sie auch akzeptieren, dass sich Wege für Fernzugriff und Fehlersuche ändern.

Machen Sie hier einen Fehler, wirkt der Rollout funktionierend, während er still das VPN abschneidet, von dem der Betrieb abhängt, was gewöhnlich die diensthabende Person zu einer ungünstigen Stunde entdeckt.

Prüfung 2: Bestätigen Sie die Berechtigung, die Sie tatsächlich haben

Android stellt die Beschränkung über UserManager.DISALLOW_CONFIG_VPN bereit, dokumentiert in der UserManager-Referenz. Sie verhindert VPN-Konfiguration und -Start und ist keine Einstellung, die eine gewöhnliche Anwendung auf sich selbst oder andere Apps anwenden kann.

Sie wird von einem autorisierten Administrator angewendet: einem Geräteeigentümer für das gesamte Gerät oder einem Profileigentümer für das verwaltete Profil, wobei dieselbe Berechtigung auch einem Profileigentümer innerhalb des verwalteten Profils zur Verfügung steht. Kann Ihr EMM nicht als einer davon auftreten, haben Sie diese Kontrolle nicht, und keine noch so umfangreiche Richtlinienkonfiguration in der Konsole wird sie erzeugen.

Der Geltungsbereich zählt genauso viel wie die Berechtigung. Eine auf ein Arbeitsprofil angewendete Beschränkung regiert dieses Profil, nicht die private Seite desselben Telefons. Das als Kontrolle über alles zu beschreiben, was der Benutzer tut, ist ungenau, und es wird von der ersten Person getestet, die im privaten Profil ein VPN installiert und feststellt, dass es funktioniert.

Prüfung 3: Kennen Sie das Verhalten je Version

Die Beschränkung hat sich über die Releases verändert, und die Unterschiede entscheiden, was Ihr Rollout auf den Geräten im Feld tatsächlich bewirkt.

Die API-31-Zeile ist die, die Leute mitten im Rollout überrascht: Auf diesen Geräten ist die Durchsetzung nicht kosmetisch, sie trennt einen Tunnel, der bereits lief. Planen Sie das als sichtbares Ereignis statt als stille Einstellungsänderung.

Die API-24-Zeile ist die, die Sie rettet: Ein vom Eigentümer konfiguriertes Always-on-VPN überlebt die Beschränkung, und so bleibt der genehmigte Pfad überhaupt verfügbar.

Prüfung 4: Halten Sie den genehmigten Pfad am Leben

Konfigurieren und testen Sie das Always-on-VPN der Organisation, bevor Sie die Beschränkung durchsetzen, nicht danach. Setzen Sie zuerst durch, verlieren die Geräte den Tunnel und die Werkzeuge, mit denen Sie sie diagnostizieren würden, gleichzeitig.

Prüfen Sie drei Dinge ausdrücklich: dass das Always-on-VPN vom Eigentümer und nicht vom Benutzer erstellt wird, dass es auf diesen Geräten nach der Durchsetzung startet und dass es einen Neustart übersteht. Ein Tunnel, der nur von Hand hochkommt, ist kein genehmigter Pfad; er ist eine Warteschlange von Support-Tickets.

Behalten Sie einen Wiederherstellungsweg, der nicht davon abhängt, dass der Tunnel steht. Eine Verwaltungskonsole, ein lokaler Admin-Weg oder ein Out-of-Band-Kanal funktionieren alle. Was nicht funktioniert, ist die Annahme, Sie könnten eine kaputte Richtlinie über die Verbindung reparieren, die die Richtlinie gerade abgeschaltet hat.

Prüfung 5: Prüfen Sie, und beschreiben Sie dann die Grenze ehrlich

Testen Sie mit einem echten Gerät und einem echten Konto. Bestätigen Sie, dass ein Benutzer kein VPN hinzufügen oder starten kann, bestätigen Sie, dass der genehmigte Tunnel verbindet und Traffic trägt, und bestätigen Sie, dass das private Profil sich weiterhin wie dokumentiert verhält. Diese drei Ergebnisse sind die Abnahmekriterien.

Seien Sie dann vorsichtig mit dem, was Sie behaupten. Die Beschränkung regelt die VPN-Fähigkeit von Android. Sie verwandelt nicht jede erlaubte Verbindung in ein inspiziertes Protokoll, und sie hindert eine App nicht daran, ihre eigenen Anfragen über einen expliziten Proxy zu leiten. UDP 500, UDP 4500 und einen OpenVPN-Port zu blockieren ist nicht dieselbe Kontrolle, weil Traffic über viele Transporte reisen kann, einschließlich gewöhnlich aussehendem HTTPS.

Ist die Anforderung breiter als die VPN-Fähigkeit, kombinieren Sie dies mit App-Verteilungsrichtlinie, Kontokontrollen und netzwerkbezogenen Einschränkungen, die zur Umgebung passen. Und halten Sie fest, was außerhalb des Geltungsbereichs bleibt, damit niemand im nächsten Audit eine teilweise Beschränkung als vollständige wiederholt.