Πού πρέπει να βρίσκεται ένας κανόνας τείχους προστασίας Android όταν το VPN είναι ενεργό

Έχετε μία πρόταση πολιτικής: αυτή η εφαρμογή επιτρέπεται να φτάνει στην υπηρεσία εργασίας και σε τίποτα άλλο. Η επόμενη ερώτηση μοιάζει με επιλογή προϊόντος, είναι όμως ερώτηση θέσης, γιατί κάθε πιθανό σημείο επιβολής βλέπει διαφορετικό μέρος της κίνησης του τηλεφώνου. Η πύλη βλέπει μόνο ό,τι μπαίνει στη σήραγγα. Το φίλτρο στην πλευρά του τηλεφώνου βλέπει μόνο ό,τι του επιτρέπεται να παρατηρεί. Το πέρασμα ενός αιτήματος από τα δύο κάνει την απάντηση προφανή.

Ξεκινήστε από την πρόταση, όχι από το προϊόν

Αναπτύξτε την απαίτηση πριν διαλέξετε οτιδήποτε. Αυτό σημαίνει το πακέτο και το προφίλ στο οποίο τρέχει, γιατί μια εφαρμογή στο προφίλ εργασίας είναι διαφορετικός χρήστης από την ίδια εφαρμογή στο προσωπικό προφίλ. Σημαίνει τον προορισμό: κεντρικό υπολογιστή, θύρα και πρωτόκολλο, όχι όνομα υπηρεσίας. Σημαίνει τη διαδρομή DNS που επιλύει αυτό το όνομα, και σημαίνει τι πρέπει να συμβεί όταν η σήραγγα δεν είναι διαθέσιμη.

Γραμμένη, η πολιτική για το παράδειγμα έχει τέσσερις γραμμές: η εφαρμογή εργασίας φτάνει στην υπηρεσία εργασίας· δεν φτάνει πουθενά αλλού· οι άλλες εφαρμογές μένουν αμετάβλητες· χωρίς σήραγγα, η εφαρμογή εργασίας απορρίπτεται αντί να πέσει σε άμεση διαδρομή. Κάθε γραμμή έχει ιδιοκτήτη, και δεν είναι όλες ο ίδιος ιδιοκτήτης.

Βήμα 1: τι μπορεί να επιβάλει το ίδιο το τηλέφωνο

Ένα τείχος προστασίας Android χωρίς root είναι ένα VpnService που συλλαμβάνει την κίνηση τοπικά, ακόμη και όταν πίσω του δεν υπάρχει απομακρυσμένη σήραγγα. Το Android επιτρέπει μία ενεργή υπηρεσία VPN ανά προφίλ χρήστη, οπότε μια δεύτερη εφαρμογή τείχους προστασίας δεν αλυσοδένει πίσω από την πρώτη. Την αντικαθιστά, και η διεπαφή που φιλτράριζε η πρώτη εφαρμογή εξαφανίζεται.

Γι αυτό η εγκατάσταση τείχους προστασίας δίπλα σε πελάτη VPN σπάνια δίνει τον συνδυασμό που περιμένουν οι άνθρωποι. Αν το τείχος ξεκινήσει και το VPN αποσυνδεθεί, τίποτα δεν συνδυάστηκε· τα δύο άλλαξαν θέση. Η αντικατάσταση διεπαφής δεν είναι συνεργασία, και το σύμπτωμα είναι μια σήραγγα που πέφτει συνεχώς κάθε φορά που ανοίγει η άλλη εφαρμογή.

Υποστηριζόμενες ρυθμίσεις υπάρχουν: φιλτράρισμα ενσωματωμένο στον πελάτη VPN που ήδη τρέχετε, διαχειριζόμενοι έλεγχοι πλατφόρμας μέσω ελεγκτή πολιτικής συσκευής ή προφίλ εργασίας, ή αρχιτεκτονική που τεκμηριώνει ο κατασκευαστής. Οτιδήποτε άλλο είναι πείραμα που πρέπει να επαληθεύεται ξανά μετά από κάθε ενημέρωση εφαρμογής.

Βήμα 2: τι μπορεί να επιβάλει η πύλη

Μόλις η κίνηση αποκρυπτογραφηθεί στο απομακρυσμένο άκρο, η πύλη μπορεί να περιορίσει τα προωθούμενα πακέτα σε εγκεκριμένες διευθύνσεις, υπηρεσίες ή πιστοποιημένες ταυτότητες VPN. Αυτή είναι πραγματική επιβολή για ό,τι βγαίνει από εκεί, και είναι το σωστό σημείο για να περιοριστεί η πρόσβαση σε ιδιωτικά υποδίκτυα.

Αυτό που δεν λαμβάνει είναι η ταυτότητα της εφαρμογής του τηλεφώνου προσκολλημένη σε κάθε συνηθισμένο πακέτο IP. Πολλές εφαρμογές που μοιράζονται μία διεύθυνση σήραγγας είναι ένα υποκείμενο για την πύλη, εκτός αν ο σχεδιασμός τους δίνει ξεχωριστές διευθύνσεις ή ξεχωριστές πιστοποιημένες ταυτότητες. Άρα ένας κανόνας ανά χρήστη στην πύλη δεν είναι κανόνας ανά εφαρμογή στο τηλέφωνο, όπως κι αν τον ονομάζει η κονσόλα διαχείρισης.

Βήμα 3: καταγράψτε ό,τι δεν φτάνει ποτέ

Μια εφαρμογή που εξαιρείται από το VPN και επικοινωνεί με κοντινή συσκευή δεν φτάνει ποτέ στην πύλη, άρα ένα τείχος εξόδου δεν μπορεί να απορρίψει πακέτο που δεν λαμβάνει ποτέ. Το ίδιο ισχύει για μια ακούσια άμεση διαδρομή κατά τη διάρκεια διακοπής και για εισερχόμενη έκθεση στο τοπικό δίκτυο πρόσβασης. Αυτά είναι τοπικά όρια εξ ορισμού.

Ισχύει και το αντίστροφο: ένας τοπικός κανόνας που επιτρέπει σύνδεση δεν δίνει πρόσβαση μέσω της ACL του ιδιωτικού δικτύου της πύλης. Ένα αίτημα μπορεί να υπόκειται και στα δύο όρια, και η ικανοποίηση του ενός δεν λέει τίποτα για το άλλο.

Βήμα 4: αναθέστε κάθε κανόνα σε μια διαδρομή

Βάλτε την απόφαση σε πίνακα πριν ρυθμίσετε οτιδήποτε, γιατί τα κενά κελιά είναι το σημείο όπου αποτυγχάνουν οι σχεδιασμοί.

Η μορφή που δουλεύει είναι δύο όρια με δύο έργα. Ένα τοπικό όριο που γνωρίζει εφαρμογές κυβερνά τη συμπεριφορά του τηλεφώνου, μαζί με την άμεση πτώση, και ένα όριο πύλης κυβερνά τους απομακρυσμένους πόρους. Η πλευρά της πύλης μπορεί να επιτρέπει την υπηρεσία εργασίας και να απορρίπτει κάθε άλλο ιδιωτικό υποδίκτυο, ενώ η πολιτική στο τηλέφωνο αποφασίζει η ίδια για μια άμεση διαδρομή που η εφαρμογή θα έπαιρνε αλλιώς.

Βήμα 5: κρατήστε τη μεταφορά ζωντανή και μετά επαληθεύστε

Όποια τοπική πολιτική κι αν διαλέξετε, πρέπει να επιτρέπει τη μεταφορά που εγκαθιστά και συντηρεί το VPN. Ο αποκλεισμός αυτής της μεταφοράς αφήνει το τηλέφωνο χωρίς σήραγγα και χωρίς πολιτική, που δεν επιβάλλει τίποτα συνεκτικά και δύσκολα διαγιγνώσκεται, γιατί η εφαρμογή απλώς δεν έχει δίκτυο.

Έπειτα επαληθεύστε κάθε γραμμή της αρχικής πρότασης αντί για τη γενική εντύπωση: η εφαρμογή εργασίας φτάνει στην υπηρεσία εργασίας, η ίδια εφαρμογή απορρίπτεται σε άλλο προορισμό, μια εφαρμογή που δεν είναι εργασίας συμπεριφέρεται όπως πριν, και με τη σήραγγα σταματημένη η εφαρμογή εργασίας δεν πέφτει σε άμεση σύνδεση. Ελέγξτε τη διαδρομή DNS ξεχωριστά, γιατί ιδιωτικό DNS ή κρυπτογραφημένος επιλυτής μπορεί να παρακάμψει φίλτρο που εξετάζει μόνο διευθύνσεις.

Αν ένα από αυτά τα βήματα δεν μπορεί να ικανοποιηθεί στο τηλέφωνο, η απαίτηση είναι ερώτηση αρχιτεκτονικής και όχι ρύθμιση τείχους προστασίας. Ο διαμοιρασμός της πολιτικής ανάμεσα σε μια συσκευή που ελέγχετε και μια πύλη που ελέγχετε είναι συνήθως η ειλικρινής απάντηση, και η τεκμηρίωση συνδεσιμότητας VPN του Android είναι το μέρος όπου επιβεβαιώνετε τι θα επιτρέψει και τι δεν θα επιτρέψει η πλατφόρμα σε μία υπηρεσία.