Malŝalti VPN-agordon en Android: kontrol-listo por la enkonduko
Decidu la politikon, konfirmu la rajtigon kiun vi havas, kontrolu la konduton laŭ versio, kaj tenu viva la aprobitan ĉiam-an vojon antaŭ ol vi devigos ĝin.
Iu petas vin malhelpi homojn agordi sian propran VPN sur administrataj Android-aparatoj. La loga respondo estas fajroŝirma regulo, kiu blokas kelkajn konatajn pordojn. Tiu respondo maltrafas kiel la platformo funkcias kaj kiel aplikaĵoj efektive konektiĝas.
La subtenata kontrolo estas administra limigo sur la aparato aŭ profilo, kiun vi posedas, kaj ĝi havas eksplicitan amplekson, versi-dependan konduton, kaj escepton, kiun vi devas konscie agordi.
Trairu la kvin kontrolojn sube laŭ ordo. Ĉiu povas nuligi la planon, do haltu ĉe la unua, kiu ne validas.
Kontrolo 1: decidu, kion signifas nenia VPN
Du postuloj kaŝiĝas malantaŭ la sama frazo. Unu estas, ke neniu uzanto rajtas krei sian propran VPN. La alia estas, ke nur la aprobita VPN de la organizo rajtas funkcii. Ambaŭ estas legitimaj, kaj ili produktas malsamajn agordojn, malsamajn subtenajn rakontojn kaj malsamajn fiaskmanierojn.
Skribu, kiun el la du vi aĉetas, antaŭ ol tuŝi ajnan administran konzolon. Se la intenco estas unu aprobita tunelo por ĉiuj, vi efektivigas aprobitan vojon kun malpermeso ĉirkaŭ ĝi; se la intenco estas neniaj tuneloj, vi ankaŭ devas akcepti, ke la vojoj de fora aliro kaj problemsolvado ŝanĝiĝos.
Se vi eraros ĉi tie, la enkonduko ŝajnos funkcii dum ĝi silente fortranĉas la VPN-on, de kiu la operacio dependas, kutime malkovrita de la deĵoranto je maloportuna horo.
Kontrolo 2: konfirmu la rajtigon, kiun vi efektive havas
Android elmontras la limigon per UserManager.DISALLOW_CONFIG_VPN, dokumentita en la UserManager-referenco. Ĝi malhelpas VPN-agordon kaj lanĉon, kaj ĝi ne estas agordo, kiun ordinara aplikaĵo povas apliki al si aŭ al aliaj aplikaĵoj.
Ĝin aplikas rajtigita administranto: aparatposedanto por la tuta aparato, aŭ profilposedanto por la administrata profilo, kun la sama rajtigo disponebla al profilposedanto ene de la administrata profilo. Se via EMM ne povas agi kiel unu el tiuj, vi ne havas ĉi tiun kontrolon, kaj neniu kvanto da politika agordo en la konzolo kreos ĝin.
Amplekso gravas same kiel rajtigo. Limigo aplikita al labora profilo regas tiun profilon, ne la personan flankon de la sama telefono. Priskribi tion kiel kontrolon super ĉio, kion la uzanto faras, estas malpreciza, kaj ĝin testos la unua persono, kiu instalos VPN en la persona profilo kaj trovos, ke ĝi funkcias.
Kontrolo 3: konu la konduton laŭ versio
La limigo ŝanĝiĝis tra eldonoj, kaj la diferencoj decidas, kion via enkonduko efektive faros sur la aparatoj en la kampo.
| Platforma limo | Dokumentita konduto |
|---|---|
| Aparatposedanto aŭ profilposedanto | La limigo povas esti aplikita sub la rajtigo de tiu posedanto |
| API 24 kaj pli postaj | Ĉiam-an VPN-on, kiun agordis la aparat- aŭ profilposedanto, la sistemo ankoraŭ lanĉas |
| API 31 kaj pli postaj | Ŝalti la limigon malkonektas VPN-on, kiun la uzanto jam funkciigis |
La vico API 31 estas tiu, kiu surprizas homojn meze de la enkonduko: sur tiuj aparatoj la plenumo ne estas kosmetika, ĝi malkonektas tunelon, kiu jam funkciis. Planu tion kiel videblan eventon anstataŭ silenta agorda ŝanĝo.
La vico API 24 estas tiu, kiu savas vin: ĉiam-a VPN agordita de la posedanto postvivas la limigon, kaj tiel la aprobita vojo restas disponebla entute.
Kontrolo 4: tenu la aprobitan vojon viva
Agordi kaj testu la ĉiam-an VPN-on de la organizo antaŭ ol vi devigos la limigon, ne poste. Se vi devigos unue, la aparatoj perdos la tunelon kaj la ilojn, per kiuj vi diagnozus ilin, samtempe.
Kontrolu tri aferojn eksplicite: ke la ĉiam-an VPN-on kreas la posedanto, ne la uzanto; ke ĝi lanĉiĝas sur tiuj aparatoj post la devigo; kaj ke ĝi postvivas restartigon. Tunelo, kiu supreniĝas nur mane, ne estas aprobita vojo; ĝi estas vico de subtenbiletoj.
Tenu restaŭran vojon, kiu ne dependas de tio, ke la tunelo funkcias. Administra konzolo, loka administranta vojo aŭ eksterbanda kanalo ĉiuj funkcias. Kio ne funkcias, estas supozi, ke vi povas ripari rompitan politikon tra la konekto, kiun la politiko ĵus malŝaltis.
Kontrolo 5: kontrolu, kaj poste priskribu la limon honeste
Testu per reala aparato kaj reala konto. Konfirmu, ke uzanto ne povas aldoni aŭ lanĉi VPN-on, konfirmu, ke la aprobita tunelo konektiĝas kaj portas trafikon, kaj konfirmu, ke la persona profilo ankoraŭ kondutas kiel dokumentite. Tiuj tri rezultoj estas la akceptkriterioj.
Poste zorgu pri tio, kion vi asertas. La limigo regas la VPN-kapablon de Android. Ĝi ne igas ĉiun permesitan konekton inspektita protokolo, kaj ĝi ne malhelpas aplikaĵon enkursigi siajn proprajn petojn tra eksplicita prokuro. Bloki UDP 500, UDP 4500 kaj unu OpenVPN pordon ne estas la sama kontrolo, ĉar trafiko povas vojaĝi tra multaj transportoj, inkluzive ordinare aspektan HTTPS.
Se la postulo estas pli larĝa ol la VPN-kapablo, kombinu tion kun aplikaĵa distribua politiko, kontkontroloj kaj retaj limigoj taŭgaj por la medio. Kaj registru, kio restas ekster la amplekso, por ke neniu ripetu partan limigon kiel kompletan en la sekva revizio.