Διακόπτης ανά εφαρμογή ή κλείδωμα ολόκληρης της συσκευής: τι αλλάζει

Ο διακόπτης ανά εφαρμογή ακούγεται σαν η προσεκτική επιλογή: μόνο ο πελάτης εργασίας χάνει το δίκτυό του όταν πέφτει το τούνελ, και όλα τα άλλα συνεχίζουν να λειτουργούν. Μετά κάποιος παρατηρεί ότι το προσωπικό πρόγραμμα περιήγησης φόρτωσε πάντως μια σελίδα, ότι ο βοηθός συγχρονισμού από το ίδιο πακέτο συνέχιζε να προσπαθεί και ότι ένα αποθηκευμένο όνομα εξακολουθούσε να επιλύεται σε μια διεύθυνση που δεν άγγιξε ποτέ το τούνελ. Η ετικέτα της λειτουργίας και το σύνολο συνδέσεων που πραγματικά προστατεύει είναι δύο διαφορετικά πράγματα. Καθορίστε πρώτα το προστατευόμενο σύνολο, γιατί αυτό αποφασίζει αν η επιβολή ανά εφαρμογή ή το κλείδωμα ολόκληρης της συσκευής είναι η ειλικρινής περιγραφή.

Ξεκινήστε από το σύνολο, όχι από την ετικέτα

Μια πολιτική ανά εφαρμογή προστατεύει επιλεγμένες εφαρμογές. Το κλείδωμα συσκευής στοχεύει σε ένα ευρύτερο δικτυακό όριο, συνήθως με τεκμηριωμένες εξαιρέσεις για τοπική εκτύπωση, κίνηση διαχείρισης ή captive portals. Καμία από τις δύο ετικέτες δεν είναι πλήρης μέχρι να απαντήσετε σε τρία ερωτήματα: τι συμβαίνει με τις εξαιρούμενες εφαρμογές, τι συμβαίνει με τους βοηθούς που ξεκινούν αυτές οι εφαρμογές και τι συμβαίνει με τις συνδέσεις που ανοίγουν όσο η προστασία δεν είναι διαθέσιμη.

Γράψτε αυτές τις απαντήσεις πριν αγγίξετε οποιαδήποτε ρύθμιση του πελάτη. Αν η απαίτηση είναι "αυτός ο πελάτης μισθοδοσίας δεν πρέπει ποτέ να μιλά στο διαδίκτυο εκτός του τούνελ, και το πρόγραμμα περιήγησής μου επιτρέπεται", το σύνολο είναι μικρό και η επιβολή ανά εφαρμογή ταιριάζει. Αν η απαίτηση είναι "τίποτα σε αυτή τη συσκευή δεν φτάνει στο διαδίκτυο χωρίς προστασία, εκτός από την υπηρεσία ενημερώσεων", καμία πολιτική ανά εφαρμογή δεν θα το παράγει, γιατί οι εφαρμογές που δεν ονομάσατε είναι το πρόβλημα.

Η επιβολή ανά εφαρμογή ταιριάζει αναγνωριστικά, όχι ονόματα προγραμμάτων

Το Android εκθέτει VPN ανά εφαρμογή μέσω πακέτων, και η τεκμηρίωση του VpnService περιγράφει πώς αυτό συνεργάζεται με τη λειτουργία συνεχούς ενεργοποίησης και τον αποκλεισμό. Το iOS ρυθμίζει VPN ανά εφαρμογή μέσω προφίλ διαχείρισης και ταιριάζει κατά εφαρμογή ή κατά τομέα. Τα Windows και το Linux δεν έχουν καθόλου διαδρομή ανά διεργασία, οπότε η ίδια ιδέα προσεγγίζεται με κανόνα τείχους προστασίας περιορισμένο σε πρόγραμμα ή με κανόνα που ταιριάζει στον χρήστη-κάτοχο.

Το όριο είναι το αναγνωριστικό, και τα αναγνωριστικά παρακάμπτονται εύκολα. Μια εφαρμογή που παραδίδει ένα URL στο πρόγραμμα περιήγησης του συστήματος ή ανοίγει ένα έγγραφο σε πρόγραμμα προβολής περνά σε μια διεργασία που η πολιτική σας δεν ονόμασε ποτέ. Η επιλογή τερματισμού κατά την πτώση δεν είναι επίσης φίλτρο πακέτων: σκοτώνει την εφαρμογή που ρυθμίσατε, ενώ μια θυγατρική διεργασία, ένας εργάτης ουράς ή μια καρτέλα του προγράμματος περιήγησης μπορεί να κρατήσει ζωντανό έναν υπάρχοντα υποδοχέα.

Το κλείδωμα καλύπτει ό,τι δεν μπορεί να δει μια πολιτική ανά εφαρμογή

Το κλείδωμα ολόκληρης της συσκευής αφαιρεί την επιλογή. Κάθε εξερχόμενο πακέτο που δεν ανήκει στο τούνελ απορρίπτεται, συμπεριλαμβανομένης της κίνησης από διεργασίες που η πολιτική εφαρμογών σας δεν γνώριζε ποτέ. Στο Android αυτό είναι VPN συνεχούς ενεργοποίησης σε συνδυασμό με τη ρύθμιση αποκλεισμού συνδέσεων, και η επιβολή γίνεται στο σύστημα, όχι στο παράθυρο του πελάτη. Σε υπολογιστή γραφείου είναι ένας μόνιμος κανόνας τείχους προστασίας ή μια προεπιλεγμένη διαδρομή προς μια μη προσβάσιμη πύλη.

Το κόστος είναι ότι όλα τα άλλα σταματούν, οπότε οι εξαιρέσεις γίνονται μέρος του σχεδιασμού και όχι ύστερη σκέψη. Τοπικοί εκτυπωτές, ανακάλυψη υπηρεσιών, σύνδεση σε captive portals, πράκτορες διαχείρισης και ενημερώσεις του λειτουργικού συστήματος χρειάζονται καθένα ένα τεκμηριωμένο κενό, γιατί το καθένα είναι μια διαδρομή που μένει ανοιχτή όταν το τούνελ είναι κάτω. Το κλείδωμα είναι μόνο τόσο ισχυρό όσο η συντομότερη καταχώριση σε αυτή τη λίστα.

Το DNS, το IPv6 και οι βοηθοί παρασκηνίου κρύβουν τις διαρροές

Το ότι μια προστατευόμενη εφαρμογή αποτυγχάνει να επιλύσει ένα όνομα δεν αποδεικνύει ότι οι αποθηκευμένες απαντήσεις ή η άμεση κίνηση IP είναι αποκλεισμένες. Αν ο μετατροπέας είναι ακόμη προσβάσιμος εκτός του τούνελ, το όνομα επιλύεται και η σύνδεση αποτυγχάνει, κάτι που μοιάζει με διακόπτη που λειτουργεί και δεν είναι. Χειρότερα, μια αποθηκευμένη εγγραφή μπορεί να δείχνει σε διεύθυνση που το τούνελ δεν μεταφέρει, οπότε η σύνδεση βγαίνει απευθείας ενώ η εφαρμογή αναφέρει σφάλμα VPN.

Το IPv6 χρειάζεται τον δικό του κανόνα σε κάθε πλατφόρμα που το εκτελεί, γιατί ένας κανόνας απόρριψης για v4 δεν καλύπτει διαδρομή v6. Στο κινητό, μια ρύθμιση ιδιωτικού DNS μπορεί να μετακινήσει την επίλυση σε κρυπτογραφημένο κανάλι που η πολιτική της συσκευής δεν επιθεωρεί. Και οι βοηθοί παρασκηνίου είναι ο συνήθης ένοχος στην επιφάνεια εργασίας: μια διεργασία ενημέρωσης ή συγχρονισμού στη γραμμή εργαλείων ξεκινά πριν από τον πελάτη VPN και κρατά τη δική της σύνδεση, οπότε δεν βλέπει ποτέ την αλλαγμένη διαδρομή.

Δοκιμάστε τρεις εφαρμογές και δύο μεταβάσεις

Εκτελέστε κάθε γραμμή δύο φορές, μία με όνομα κεντρικού υπολογιστή και μία με κυριολεκτική διεύθυνση, και άλλη μία μέσω IPv6 αν το δίκτυο το προσφέρει. Επιτυχία σημαίνει ότι η συμπεριλαμβανόμενη εφαρμογή σταμάτησε, η εξαιρούμενη συμπεριφέρθηκε όπως γράψατε και ο βοηθός δεν ξέφυγε. Καταγράψτε την άμεση συμπεριφορά που κρίνατε αποδεκτή, ώστε ο επόμενος διαχειριστής να ξεχωρίζει μια σκόπιμη εξαίρεση από μια βλάβη.

Στη συνέχεια περιγράψτε το αποτέλεσμα σε μία πρόταση που ονομάζει τις εφαρμογές και τις συνθήκες, για παράδειγμα: ο πελάτης μισθοδοσίας δεν έχει διαδρομή εκτός του τούνελ, το πρόγραμμα περιήγησης είναι άμεσο εξ ορισμού και όλα τα άλλα σταματούν όταν το τούνελ είναι κάτω. Αν αυτή η πρόταση είναι δύσκολο να γραφτεί, η πολιτική είναι ακόμη δύο πολιτικές που μάχονται μεταξύ τους.