Ĉu vi markis unu aplikaĵon en OpenVPN? La listbazo decidas
La sama markita pako signifas inkludon aŭ ekskludon laŭ la listbazo. Unue elektu nur-inkludi, rekonektu, poste testu la tutan laborfluon.
La markobutono aspektas kiel la tuta decido, kaj en Android ĝi ne estas. La sama markita pako signifas “nur ĉi tiu aplikaĵo uzas la VPN” sub bazlinio nur-inkludi kaj “ĉi tiu aplikaĵo preteriras la VPN” sub bazlinio ekskludi-elektitajn. Homoj instalas klienton, trovas liston nomatan Permesitaj aplikaĵoj, markas la ununuran pakon, pri kiu ili zorgas, kaj foriras kun politiko, kiu faras la malon. Ŝanĝi klienton malofte helpas; elekti la bazlinion antaŭ ol tuŝi la liston helpas.
La bazlinio estas la politiko, ne la markobutono
Sub VpnService de Android, kliento agordas po-aplikaĵan enkursigon per addAllowedApplication aŭ addDisallowedApplication. La unua limigas la tunelon al la listigitaj pakoj, la dua tuneligas ĉion krom ili. Klientoj envolvas la du en interfacon, kiu povas aspekti preskaŭ identa, kaj kelkaj nomas la sekcion laŭ la listo anstataŭ laŭ la reĝimo, do la sekcia titolo sola ne povas diri, kiu bazlinio estas aktiva.
Legu la reĝiman regilon super la listo, ne la titolon. En la originala OpenVPN for Android-kliento la listo de permesitaj aplikaĵoj havas bazlinion nur-inkludi kaj bazlinion ekskludi-elektitajn, kaj marka versio povas vortigi ambaŭ malsame, konservante la samajn du kondutojn. Ekrankopio el alia kliento, aŭ el pli malnova versio de la sama, ne estas pruvo pri la reĝimo, en kiu vi estas.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Tiu tabelo estas la tuta mito. Marki la aplikaĵon estas aserto pri unu pako; la bazlinio decidas, ĉu la aserto estas “inkludu ĝin” aŭ “ekskludu ĝin”.
Unue la reĝimo, poste la pako
Laboru laŭ ĉi tiu ordo, ĉar elekto farita sub unu bazlinio povas postvivi reĝiman ŝanĝon kaj silente renversi sian efikon:
- Identigu la veran pakon kaj ĉu temas pri la persona aŭ la laborprofila kopio.
- Malfermu la agordojn de aplikaĵ-elekto por la ĝusta VPN-profilo, kun kiu vi konektiĝas.
- Agordu la bazlinion, kies signifo estas “nur elektitaj aplikaĵoj uzas la VPN”.
- Inkludu la celatan pakon kaj lasu nerilatajn aplikaĵojn ekster la aro.
- Rekonektu, por ke la kliento rekonstruu la interfacon kun la nova listo.
La profilo gravas same kiel la pako. Kliento povas teni plurajn profilojn, kaj po-aplikaĵa elekto apartenas al tiu, kun kiu vi efektive konektiĝas; redakti profilon, kiun vi neniam uzas, ŝanĝas nenion. Sur administrata aparato, la laborprofilo estas aparta uzanto kun sia propra kopio de la aplikaĵo kaj sia propra politiko, do tio, ke la persona kazo estas ene de la tunelo, diras nenion pri la labora kazo.
Rekonektu antaŭ ol juĝi la rezulton
VpnService legas la aplikaĵ-listojn, kiam la tunela interfaco estas starigita. Kuranta tunelo ne nepre transprenas listan redakton, kaj klientoj malsamas en tio, ĉu ili rekonstruas aŭtomate aŭ atendas, ke vi malkonektu kaj rekonektu.
Se la ŝanĝo ŝajnas fari nenion, testu la rekonekton antaŭ ol dubi la liston. Poste faru freŝan peton anstataŭ reŝuti paĝon, kiu jam estis malfermita: aplikaĵo, kiu tenas establitajn konekton, estas malbona testobjekto, kaj la rezulto, kiun vi vidas, eble apartenas al la malnova interfaco.
Via laborfluo povas forlasi la aplikaĵon
Aplikaĵo povas transdoni al retumilo por ensaluto, al dokumentrigardilo aŭ al kundivida celo. Sub bazlinio nur-inkludi tiuj helpiloj estas ekster la tunelo, do laborfluo povas malsukcesi duone eĉ kiam la unua aplikaĵo estis ĝuste agordita. Inkludu la helpilon nur se la laborfluo vere bezonas ĝin, kaj aldonu ĝin intence anstataŭ malkovri ĝin dum demonstracio.
Po-aplikaĵa elekto ankaŭ ne anstataŭas la propran enkursigan politikon de la konekto. La profilo ankoraŭ devas porti la cellokajn prefiksojn kaj adresarojn, kiujn la aplikaĵo uzas, kaj la enirejo ankoraŭ devas permesi la servon. Ĝuste listigita aplikaĵo kun neatingebla celo aspektas same kiel malĝuste agordita listo.
Testu ambaŭ flankojn, poste skribu la politikon
Testu unu freŝan peton en la inkludita aplikaĵo kaj unu en aplikaĵo, kiu devus resti ekstere. Komparu la eliran adreson kaj aliron al privata resurso, poste ripetu post rekonekto. Se via organizo uzas la politikon de Android bloki konektojn sen VPN, ekskludita aplikaĵo povas esti blokita tute anstataŭ iri rekte; tio estas la politiko funkcianta, ne fuŝo por ĉirkaŭiri.
Registru la reĝimon, la paknomojn kun sia profilo, kiuj aplikaĵoj devus preteriri, kiujn adresarojn la tunelo portas, kaj kio devus okazi kiam la tunelo ne funkcias. Se la kliento ne povas klare esprimi la laborfluon, elektu pli vastan aprobitan aplikaĵaron aŭ politikon de administrata profilo anstataŭ redakti fajroŝirmilajn regulojn ĉe radika nivelo, kio ne estas parto de la subtenata po-aplikaĵa mekanismo de Android.