Ĉu laboreja aplikaĵo postulas VPN? Unue kontrolu ĉi tiujn tri tavolojn

La mesaĝo diras, ke la aplikaĵo bezonas VPN, sed kutime la aplikaĵo raportas simptomon anstataŭ nomi la aferon, kiu ĝin blokis. Tri apartaj posedantoj povas produkti tiun frazon: la privata servo, kun kiu la aplikaĵo parolas, la propra politika kodo de la aplikaĵo, kaj la aparat-administra tavolo, kiu regas la laboran profilon. Kiu demandas ŝanĝas tion, kion vi devus fari, kaj nur unu el la tri ripariĝas per konekto de tunelo. Trovi la posedanton unue ŝparas al vi reinstalon de kliento, kiu neniam estis la problemo.

Kion la aplikaĵo mem povas kontroli

Antaŭ ol supozi kaŝitan platforman regulon, memoru, ke ordinara aplikaĵo povas vidi, ĉu VPN-transporto estas aktiva. ConnectivityManager raportas retojn portantajn TRANSPORT_VPN, kaj la foresto de NET_CAPABILITY_NOT_VPN diras al ĉiu alvokanto, ke la nuna vojo estas tunelita. Programisto, kiu volas rifuzi funkcii ekster tunelo, povas fari tion per publikaj API-oj kaj tute sen entreprenaj iloj.

Kion la aplikaĵo tiel ne povas vidi, estas kies VPN ĝi estas. Transporta flago diras, ke tunelo ekzistas, ne ke ĝi finiĝas tie, kie via organizo atendas.

La serva vojo: privataj nomoj kaj adresoj

La plej ofta honesta versio de la mesaĝo tute ne estas politika kontrolo. La aplikaĵo solvas internan gastigantan nomon, kiel vikio aŭ API-finpunkto, kiu ekzistas nur ene de la entreprena DNS-vido, kaj la serĉo malsukcesas antaŭ ol ajna politika kodo ruliĝas. La tunelo povas esti aktiva kaj pasigi ĝeneralan interretan trafikon, dum dividita DNS sendas tiun nomon al solvilo, kiu neniam aŭdis pri ĝi.

La simptomoj ĉi tie estas mallarĝaj. Unu gastiganto malsukcesas, la ceteraj retaj alvokoj de la aplikaĵo funkcias, kaj la malsukceso aperas dum nomserĉo, ne ĉe lanĉo. Internaj atestiloj aldonas duan malsukcesan reĝimon, ĉar aplikaĵo fiksita al la CA de la organizo rifuzas publikan atestilon eĉ kiam la pakaĵoj fluas.

Konekti hazardan komercan VPN riparas neniom el tio. Ĝi ŝanĝas vian eliran adreson kaj lasas la internan nomon same nesolvebla.

La aplikaĵa politika tavolo

Aplikaĵo ankaŭ povas porti sian propran pordegon. Administrataj agordoj permesas al la organizo puŝi ŝlosil-valorajn parojn, kiujn la aplikaĵo deklaras, kaj la aplikaĵo legas ilin per RestrictionManager. Ŝlosilo kiel postulata profila nomo aŭ listo de permesitaj retoj estas tute la dezajno de la programisto, devigata en aplikaĵa kodo per ajna erarteksto, kiun tiu kodo elektas.

Ĉi tiu tavolo estas kie la vortigo kutime malkaŝas ĝin. Se la mesaĝo aperas tuj ĉe lanĉo, antaŭ ajna reta alvoko, kaj mencias politikon, profilon aŭ administranton, vi probable rigardas aplikaĵan logikon anstataŭ faligitan pakaĵon.

Legi la saman limigon en persona aparato estas sakstrato. Neadministrataj aparatoj havas neniujn limigojn por legi, do la aplikaĵo revenas al kiu ajn defaŭlto, kun kiu ĝi estis konstruita.

La platforma tavolo: ĉiam-aktiva kaj ŝloso

Aparat-administrado aldonas devigon, kiun la aplikaĵo ne povas superregi. Aparatpolitika regilo povas alvoki setAlwaysOnVpnPackage por la labora profilo, laŭvole kun ŝloso ŝaltita, kaj post kiam ŝloso estas ŝaltita, la platformo rifuzas trafikon, kiu ne iras tra tiu pakaĵo. La blokado videblas kiel sistema stato, ne kiel aplikaĵa eraro: aliaj aplikaĵoj en la profilo ankaŭ ĉesas atingi la reton.

La amplekso gravas. Ĉiam-aktiva VPN estas agordata por ĉiu uzanto, do laborprofila pakaĵo ne kovras vian personan profilon, kaj persona VPN ne kontentigas la laborprofilan pakaĵon. Du profiloj, du sendependaj retaj politikoj, unu aparato.

Ĉi tio ankaŭ estas la sola tavolo, kie nerilata VPN ne povas helpi, ĉar la politiko nomas unu specifan pakaĵon.

Distingi la tri

Trairu la signojn laŭ ordo kaj haltu ĉe la unua, kiu kongruas. Unu gastiganta nomo malsukcesas dum ĉio alia solviĝas, montras al la serva vojo. Tuja rifuzo ĉe lanĉo kun politika vortigo montras al aplikaĵa logiko. Tuta profilo perdanta konektecon ĉiufoje, kiam la aprobita kliento malkonektiĝas, montras al ŝloso. Kaj aplikaĵo, kiu akceptas ajnan tunnelon, kontrolas la transportan flagon, ne la identecon de via organizo.

Utilaj pruvoj: la ekzakta teksto kaj ĝia tempo, ĉu aliaj aplikaĵoj en la sama profilo ankoraŭ havas konektecon, ĉu la privata nomo solviĝas ene de la aprobita tunelo, kaj ĉu la aparato montras laboran insignon por la aplikaĵo, kiun vi malfermis.

Kion meti en la subtenan peton

Peto, kiu nomas la tavolon, estas ĝuste enkursigita unuafoje. Io kiel: la laborprofila aplikaĵo malfermiĝas, la rimeda listo malsukcesas post kiam la aprobita VPN konektiĝas, privata nomsolvo malsukcesas en la permesita diagnostiko, kaj aliaj aplikaĵoj en la profilo daŭre funkcias. Tio legeblas kiel voja aŭ solvila problemo kaj preterpasas la kontan restarigan buklon.

Se la aprobita VPN tute mankas, la subtenata vojo estas aliĝo aŭ reprovizado per via administranto. Forigi la administran profilon, instali nerilatan klienton aŭ falsi la retan staton ŝanĝas la sekurecan aranĝon anstataŭ restarigi ĝin.

Komencu per la tavolo, ne per la kliento. La tri signoj supre kutime solvas ĝin en unu seanco.