Η εφαρμογή εργασίας απαιτεί VPN; Ελέγξτε πρώτα αυτά τα τρία επίπεδα

Το μήνυμα λέει ότι η εφαρμογή χρειάζεται VPN, αλλά συνήθως η εφαρμογή αναφέρει ένα σύμπτωμα αντί να ονομάζει το πράγμα που την εμπόδισε. Τρεις διαφορετικοί υπεύθυνοι μπορούν να παράγουν αυτή την πρόταση: η ιδιωτική υπηρεσία με την οποία μιλά η εφαρμογή, ο δικός της κώδικας πολιτικής και το επίπεδο διαχείρισης συσκευής που ελέγχει το προφίλ εργασίας. Ποιος ρωτά αλλάζει το τι πρέπει να κάνετε, και μόνο ένας από τους τρεις διορθώνεται συνδέοντας μια σήραγγα. Το να βρείτε πρώτα τον υπεύθυνο σας γλιτώνει από την επανεγκατάσταση ενός πελάτη που ποτέ δεν ήταν το πρόβλημα.

Τι μπορεί να ελέγξει η ίδια η εφαρμογή

Πριν υποθέσετε έναν κρυφό κανόνα πλατφόρμας, θυμηθείτε ότι μια κανονική εφαρμογή μπορεί να δει αν μια μεταφορά VPN είναι ενεργή. Το ConnectivityManager αναφέρει δίκτυα που φέρουν TRANSPORT_VPN, και η απουσία του NET_CAPABILITY_NOT_VPN λέει σε κάθε καλούντα ότι η τρέχουσα διαδρομή είναι σηραγγωμένη. Ένας προγραμματιστής που θέλει να αρνηθεί να λειτουργήσει εκτός σήραγγας μπορεί να το κάνει με δημόσια API και χωρίς καθόλου εργαλεία επιχείρησης.

Αυτό που δεν μπορεί να δει έτσι η εφαρμογή είναι τίνος VPN είναι. Μια σημαία μεταφοράς λέει ότι υπάρχει σήραγγα, όχι ότι τερματίζει εκεί που περιμένει ο οργανισμός σας.

Η διαδρομή της υπηρεσίας: ιδιωτικά ονόματα και διευθύνσεις

Η πιο συνηθισμένη ειλικρινής εκδοχή του μηνύματος δεν είναι καθόλου έλεγχος πολιτικής. Η εφαρμογή επιλύει ένα εσωτερικό όνομα κεντρικού υπολογιστή, όπως ένα wiki ή ένα τελικό σημείο API που υπάρχει μόνο μέσα στην εταιρική προβολή DNS, και η αναζήτηση αποτυγχάνει πριν εκτελεστεί οποιοσδήποτε κώδικας πολιτικής. Η σήραγγα μπορεί να είναι ενεργή και να περνά γενική κίνηση διαδικτύου, ενώ το διαχωρισμένο DNS στέλνει αυτό το όνομα σε έναν επιλυτή που δεν το έχει ακούσει ποτέ.

Τα συμπτώματα εδώ είναι στενά. Ένας κεντρικός υπολογιστής αποτυγχάνει, οι υπόλοιπες κλήσεις δικτύου της εφαρμογής λειτουργούν, και η αποτυχία εμφανίζεται κατά την αναζήτηση ονόματος και όχι κατά την εκκίνηση. Τα εσωτερικά πιστοποιητικά προσθέτουν ένα δεύτερο τρόπο αποτυχίας, γιατί μια εφαρμογή καρφιτσωμένη στην CA του οργανισμού απορρίπτει ένα δημόσιο πιστοποιητικό ακόμη και όταν τα πακέτα ρέουν.

Η σύνδεση ενός τυχαίου εμπορικού VPN δεν διορθώνει τίποτα από αυτά. Αλλάζει τη διεύθυνση εξόδου σας και αφήνει το εσωτερικό όνομα εξίσου άλυτο.

Το επίπεδο πολιτικής της εφαρμογής

Μια εφαρμογή μπορεί επίσης να φέρει τη δική της πύλη. Οι διαχειριζόμενες ρυθμίσεις επιτρέπουν στον οργανισμό να προωθεί ζεύγη κλειδιού και τιμής που δηλώνει η εφαρμογή, και η εφαρμογή τα διαβάζει μέσω του RestrictionManager. Ένα κλειδί όπως ένα απαιτούμενο όνομα προφίλ ή μια λίστα επιτρεπόμενων δικτύων είναι εξ ολοκλήρου σχεδιασμός του προγραμματιστή, που επιβάλλεται στον κώδικα της εφαρμογής με όποιο κείμενο σφάλματος επιλέξει αυτός ο κώδικας.

Αυτό το επίπεδο είναι όπου η διατύπωση συνήθως προδίδει την υπόθεση. Αν το μήνυμα εμφανίζεται αμέσως κατά την εκκίνηση, πριν από οποιαδήποτε κλήση δικτύου, και αναφέρει πολιτική, προφίλ ή διαχειριστή, πιθανότατα βλέπετε λογική εφαρμογής και όχι ένα χαμένο πακέτο.

Το να διαβάσετε τον ίδιο περιορισμό σε μια προσωπική συσκευή είναι αδιέξοδο. Οι μη διαχειριζόμενες συσκευές δεν έχουν περιορισμούς να διαβάσουν, οπότε η εφαρμογή επιστρέφει σε όποια προεπιλογή κατασκευάστηκε.

Το επίπεδο πλατφόρμας: μόνιμη σύνδεση και κλείδωμα

Η διαχείριση συσκευής προσθέτει επιβολή που η εφαρμογή δεν μπορεί να παρακάμψει. Ένας ελεγκτής πολιτικής συσκευής μπορεί να καλέσει το setAlwaysOnVpnPackage για το προφίλ εργασίας, προαιρετικά με ενεργοποιημένο κλείδωμα, και μόλις ενεργοποιηθεί το κλείδωμα η πλατφόρμα αρνείται κίνηση που δεν περνά από αυτό το πακέτο. Ο αποκλεισμός φαίνεται ως κατάσταση συστήματος και όχι ως σφάλμα εφαρμογής: και άλλες εφαρμογές στο προφίλ σταματούν να φτάνουν στο δίκτυο.

Το εύρος έχει σημασία. Το μόνιμο VPN ρυθμίζεται ανά χρήστη, οπότε ένα πακέτο προφίλ εργασίας δεν καλύπτει το προσωπικό σας προφίλ, και ένα προσωπικό VPN δεν ικανοποιεί το πακέτο του προφίλ εργασίας. Δύο προφίλ, δύο ανεξάρτητες πολιτικές δικτύου, μία συσκευή.

Αυτό είναι επίσης το μόνο επίπεδο όπου ένα άσχετο VPN δεν μπορεί να βοηθήσει, γιατί η πολιτική ονομάζει ένα συγκεκριμένο πακέτο.

Πώς ξεχωρίζουν τα τρία

Περάστε τις υπογραφές με σειρά και σταματήστε στην πρώτη που ταιριάζει. Ένα όνομα κεντρικού υπολογιστή αποτυγχάνει ενώ όλα τα άλλα επιλύονται, δείχνει στη διαδρομή της υπηρεσίας. Μια άμεση άρνηση κατά την εκκίνηση με διατύπωση πολιτικής δείχνει στη λογική εφαρμογής. Ένα ολόκληρο προφίλ χάνει τη συνδεσιμότητα όποτε αποσυνδέεται ο εγκεκριμένος πελάτης, δείχνει στο κλείδωμα. Και μια εφαρμογή που δέχεται οποιαδήποτε σήραγγα ελέγχει τη σημαία μεταφοράς, όχι την ταυτότητα του οργανισμού σας.

Χρήσιμα στοιχεία: το ακριβές κείμενο και ο χρόνος του, αν άλλες εφαρμογές στο ίδιο προφίλ έχουν ακόμη συνδεσιμότητα, αν το ιδιωτικό όνομα επιλύεται μέσα στην εγκεκριμένη σήραγγα και αν η συσκευή δείχνει σήμα εργασίας για την εφαρμογή που ανοίξατε.

Τι να βάλετε στο αίτημα υποστήριξης

Ένα αίτημα που ονομάζει το επίπεδο δρομολογείται σωστά με την πρώτη προσπάθεια. Κάτι σαν: η εφαρμογή του προφίλ εργασίας ανοίγει, η λίστα πόρων αποτυγχάνει αφού συνδεθεί το εγκεκριμένο VPN, η επίλυση του ιδιωτικού ονόματος αποτυγχάνει στα επιτρεπόμενα διαγνωστικά, και οι άλλες εφαρμογές στο προφίλ συνεχίζουν να λειτουργούν. Αυτό διαβάζεται ως πρόβλημα διαδρομής ή επιλυτή και παρακάμπτει τον κύκλο επαναφοράς λογαριασμού.

Αν το εγκεκριμένο VPN λείπει εντελώς, η υποστηριζόμενη διαδρομή είναι η εγγραφή ή η εκ νέου παροχή μέσω του διαχειριστή σας. Η αφαίρεση του προφίλ διαχείρισης, η εγκατάσταση ενός άσχετου πελάτη ή η πλαστογράφηση της κατάστασης δικτύου αλλάζει τη ρύθμιση ασφαλείας αντί να την αποκαταστήσει.

Ξεκινήστε από το επίπεδο, όχι από τον πελάτη. Οι τρεις υπογραφές παραπάνω συνήθως το λύνουν σε μία συνεδρία.