Αποκλεισμός διαμόρφωσης VPN σε Android: λίστα ελέγχου για την ανάπτυξη
Αποφασίστε την πολιτική, επιβεβαιώστε την εξουσία που έχετε, ελέγξτε τη συμπεριφορά ανά έκδοση και κρατήστε ζωντανή την εγκεκριμένη διαδρομή μόνιμης σύνδεσης πριν την επιβολή.
Κάποιος σας ζητά να εμποδίσετε ανθρώπους να διαμορφώνουν το δικό τους VPN σε διαχειριζόμενες συσκευές Android. Η δελεαστική απάντηση είναι ένας κανόνας τείχους προστασίας που μπλοκάρει μερικές γνωστές θύρες. Αυτή η απάντηση παραβλέπει πώς λειτουργεί η πλατφόρμα και πώς συνδέονται πραγματικά οι εφαρμογές.
Ο υποστηριζόμενος έλεγχος είναι ένας περιορισμός διαχείρισης στη συσκευή ή το προφίλ που σας ανήκει, και έχει σαφές πεδίο εφαρμογής, συμπεριφορά που εξαρτάται από την έκδοση, και μια εξαίρεση που πρέπει να διαμορφώσετε σκόπιμα.
Περάστε από τους πέντε ελέγχους παρακάτω με τη σειρά. Ο καθένας μπορεί να ακυρώσει το σχέδιο, οπότε σταματήστε στον πρώτο που δεν στέκει.
Έλεγχος 1: αποφασίστε τι σημαίνει κανένα VPN
Δύο απαιτήσεις κρύβονται πίσω από την ίδια φράση. Η μία είναι ότι κανένας χρήστης δεν επιτρέπεται να δημιουργήσει δικό του VPN. Η άλλη είναι ότι επιτρέπεται να λειτουργεί μόνο το εγκεκριμένο VPN του οργανισμού. Και οι δύο είναι νόμιμες, και παράγουν διαφορετικές διαμορφώσεις, διαφορετικές ιστορίες υποστήριξης και διαφορετικούς τρόπους αποτυχίας.
Γράψτε ποια από τις δύο αγοράζετε πριν αγγίξετε οποιαδήποτε κονσόλα διαχείρισης. Αν η πρόθεση είναι ένα εγκεκριμένο τούνελ για όλους, υλοποιείτε μια εγκεκριμένη διαδρομή με απαγόρευση γύρω της· αν η πρόθεση είναι καθόλου τούνελ, πρέπει επίσης να δεχτείτε ότι οι διαδρομές απομακρυσμένης πρόσβασης και αντιμετώπισης προβλημάτων αλλάζουν.
Κάντε λάθος εδώ και η ανάπτυξη θα φαίνεται ότι λειτουργεί ενώ κόβει σιωπηλά το VPN από το οποίο εξαρτάται η λειτουργία, κάτι που συνήθως ανακαλύπτει ο εφημερεύων σε άβολη ώρα.
Έλεγχος 2: επιβεβαιώστε την εξουσία που πραγματικά έχετε
Το Android εκθέτει τον περιορισμό μέσω UserManager.DISALLOW_CONFIG_VPN, τεκμηριωμένο στην αναφορά UserManager. Εμποδίζει τη διαμόρφωση και την εκκίνηση VPN, και δεν είναι ρύθμιση που μπορεί μια συνηθισμένη εφαρμογή να εφαρμόσει στον εαυτό της ή σε άλλες εφαρμογές.
Τον εφαρμόζει εξουσιοδοτημένος διαχειριστής: ιδιοκτήτης συσκευής για ολόκληρη τη συσκευή ή ιδιοκτήτης προφίλ για το διαχειριζόμενο προφίλ, με την ίδια εξουσία διαθέσιμη σε ιδιοκτήτη προφίλ μέσα στο διαχειριζόμενο προφίλ. Αν το EMM σας δεν μπορεί να δράσει ως ένα από αυτά, δεν έχετε αυτόν τον έλεγχο, και καμία ποσότητα διαμόρφωσης πολιτικής στην κονσόλα δεν θα τον δημιουργήσει.
Το πεδίο εφαρμογής μετράει όσο και η εξουσία. Ένας περιορισμός που εφαρμόζεται σε προφίλ εργασίας διέπει αυτό το προφίλ, όχι την προσωπική πλευρά του ίδιου τηλεφώνου. Το να το περιγράφετε ως έλεγχο πάνω σε ό,τι κάνει ο χρήστης είναι ανακριβές, και θα το δοκιμάσει το πρώτο άτομο που θα εγκαταστήσει VPN στο προσωπικό προφίλ και θα διαπιστώσει ότι λειτουργεί.
Έλεγχος 3: γνωρίστε τη συμπεριφορά ανά έκδοση
Ο περιορισμός άλλαξε ανά έκδοση, και οι διαφορές καθορίζουν τι θα κάνει πραγματικά η ανάπτυξή σας στις συσκευές στο πεδίο.
| Όριο πλατφόρμας | Τεκμηριωμένη συμπεριφορά |
|---|---|
| Ιδιοκτήτης συσκευής ή προφίλ | Ο περιορισμός μπορεί να εφαρμοστεί υπό την εξουσία αυτού του ιδιοκτήτη |
| API 24 και νεότερο | Ένα VPN μόνιμης σύνδεσης που διαμόρφωσε ο ιδιοκτήτης συσκευής ή προφίλ εκκινείται ακόμη από το σύστημα |
| API 31 και νεότερο | Η ενεργοποίηση του περιορισμού αποσυνδέει ένα VPN που ο χρήστης είχε ήδη σε λειτουργία |
Η γραμμή API 31 είναι αυτή που εκπλήσσει τους ανθρώπους στη μέση της ανάπτυξης: σε αυτές τις συσκευές η επιβολή δεν είναι διακοσμητική, αποσυνδέει ένα τούνελ που ήδη λειτουργούσε. Σχεδιάστε το ως ορατό γεγονός και όχι ως σιωπηλή αλλαγή ρυθμίσεων.
Η γραμμή API 24 είναι αυτή που σας σώζει: ένα VPN μόνιμης σύνδεσης διαμορφωμένο από τον ιδιοκτήτη επιβιώνει του περιορισμού, και έτσι η εγκεκριμένη διαδρομή παραμένει διαθέσιμη.
Έλεγχος 4: κρατήστε ζωντανή την εγκεκριμένη διαδρομή
Διαμορφώστε και δοκιμάστε το VPN μόνιμης σύνδεσης του οργανισμού πριν επιβάλετε τον περιορισμό, όχι μετά. Αν επιβάλετε πρώτα, οι συσκευές χάνουν το τούνελ και τα εργαλεία με τα οποία θα τις διαγιγνώσκατε ταυτόχρονα.
Επαληθεύστε ρητά τρία πράγματα: ότι το VPN μόνιμης σύνδεσης το δημιουργεί ο ιδιοκτήτης και όχι ο χρήστης, ότι εκκινείται σε αυτές τις συσκευές μετά την επιβολή, και ότι επιβιώνει από επανεκκίνηση. Ένα τούνελ που ανεβαίνει μόνο χειροκίνητα δεν είναι εγκεκριμένη διαδρομή· είναι ουρά από αιτήματα υποστήριξης.
Διατηρήστε μια διαδρομή ανάκτησης που δεν εξαρτάται από το αν το τούνελ είναι ενεργό. Μια κονσόλα διαχείρισης, μια τοπική διαδρομή διαχειριστή ή ένα κανάλι εκτός ζώνης λειτουργούν όλα. Αυτό που δεν λειτουργεί είναι να υποθέτετε ότι μπορείτε να διορθώσετε μια χαλασμένη πολιτική μέσα από τη σύνδεση που η πολιτική μόλις απενεργοποίησε.
Έλεγχος 5: επαληθεύστε, και μετά περιγράψτε το όριο ειλικρινά
Δοκιμάστε με πραγματική συσκευή και πραγματικό λογαριασμό. Επιβεβαιώστε ότι ένας χρήστης δεν μπορεί να προσθέσει ή να εκκινήσει VPN, επιβεβαιώστε ότι το εγκεκριμένο τούνελ συνδέεται και μεταφέρει κίνηση, και επιβεβαιώστε ότι το προσωπικό προφίλ συνεχίζει να συμπεριφέρεται όπως τεκμηριώνεται. Αυτά τα τρία αποτελέσματα είναι τα κριτήρια αποδοχής.
Έπειτα προσέξτε τι ισχυρίζεστε. Ο περιορισμός διέπει τη δυνατότητα VPN του Android. Δεν μετατρέπει κάθε επιτρεπτή σύνδεση σε πρωτόκολλο υπό επιθεώρηση, και δεν εμποδίζει μια εφαρμογή να δρομολογεί τα δικά της αιτήματα μέσω ρητού διαμεσολαβητή. Το μπλοκάρισμα UDP 500, UDP 4500 και μίας OpenVPN θύρας δεν είναι ο ίδιος έλεγχος, γιατί η κίνηση μπορεί να ταξιδέψει μέσα από πολλά μεταφορικά μέσα, συμπεριλαμβανομένου ενός HTTPS που φαίνεται συνηθισμένο.
Αν η απαίτηση είναι ευρύτερη από τη δυνατότητα VPN, συνδυάστε το με πολιτική διανομής εφαρμογών, ελέγχους λογαριασμών και περιορισμούς δικτύου κατάλληλους για το περιβάλλον. Και καταγράψτε τι μένει εκτός πεδίου, ώστε κανείς να μην επαναλάβει έναν μερικό περιορισμό ως πλήρη στην επόμενη επιθεώρηση.