Androidi IKEv2 VPN-profiilid on kasutajapõhised, mitte seadmepõhised

Väljend sisseehitatud VPN hõlmab Androidis kahte seostamatut asja: protokolli teostust, mida platvorm teie eest käitab, ja seda seadete kuju, mille tootja otsustas näidata. Need ei ole sama objekt ja kumbki ei taga, et tunnel kuulub kasutajale, kelle rakendustel seda vaja on. Loomine toimub kindlas kasutajas kindla kutsuva paketiga ja kõik järgnev pärib selle konteksti. Lugege omandiahelat enne seadete ekraani.

Mida platvorm teie jaoks ehitab

Alates Android 11-st pakub platvorm VPN-i loomist VpnManager kaudu. Kinnitatud rakendus kirjeldab IKEv2 profiili ja platvorm teeb IPsec ning IKE vahetuse ise, nii et rakendus ei puutu kunagi pakette. See on sisuline erinevus oma VPN-rakendusest, mis teostab VpnService ja ehitab tunneli oma protsessis.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

Ülalolev kutse on vormi visand, mitte kopeeritav plokk: ehitajal on mitu autentimisvarianti, need erinevad API taseme järgi ja profiil kannab ka serveri sertifikaadi usaldusmaterjali. Omandi küsimuse jaoks on oluline kitsam kui süntaks.

Sellest disainist tuleneb kaks omadust. Profiil on andmed, seega saab administraator selle luua, selle asemel et see käsitsi sisestada. Ja tunnel on platvormi võrk, seega näib see rakendustele VPN-transpordiga võrgustikuna, mitte teise rakenduse soketina.

Omanik on kasutaja, seejärel pakett

Androidi mitmekasutajarežiim on tõeline eraldatus, mitte silt. Tööprofiil on eraldi kasutaja oma paigaldatud pakettide, rakenduseandmete, võtmehoidla ja usaldusankrutega. Sama toode mõlemas kohas on kaks eksemplari erinevate kasutajaidentifikaatoritega, isegi kui käivitaja ikoonid ja tootenimed on identsed.

Loomine registreeritakse selle kasutaja kutsuva paketi vastu. Nii loob isiklikus profiilis töötav loomisrakendus isikliku tunneli ja tööprofiili töörakendused ei näe sellest midagi. Vastupidine kehtib samuti, mistõttu on tööprofiili tunnel isiklikele rakendustele nähtamatu ilma selgesõnalise poliitikata, mis ütleb teisiti.

Seadme poliitika kontroller saab luua hallatava profiili nimel, mis selgitab kirjet, mille loomist kontoris keegi ei mäleta. Kui teostate telefoni auditit, on see tõenäoline halli profiili omanik ja selle kustutamine katse korras ei ole teie asi.

Kolm väravat enne, kui pakett liigub

Esimene värav on volitus: juhtimine peab VPN-i üldse lubama ja mõned juurutused piiravad lisaks olemasolule ka tüüpi. Teine on identiteet: kliendisertifikaat või volitusandmed peavad olema saadaval kasutajas, kellele profiil kuulub, sest isiklikku võtmehoidlasse imporditud sertifikaat ei ole tööprofiilile nähtav.

Kolmas on nõusolek ja poliitika. Kasutaja kinnitab ühenduse tavaliselt esimesel kasutamisel ja administraator saab selle lisaks kinnitada alati sees olevaks, soovi korral lukustusega, et liiklus ei saaks tunnelist välja minna. Need seaded otsustavad, mis juhtub tunneli katkemisel, ja just seda osa kasutajad märkavad.

Ulatus on koht, kus kolm kokku saavad. Profiil määrab lüüsi ja identiteedi, samas kui poliitikakiht otsustab, millised rakendused tohivad tunnelit kasutada ja kas liiklus sunnitakse sellest läbi. Seetõttu võivad kaks identsete lüüsi aadressidega telefoni käituda väga erinevalt.

Miks isiklik ühendus ei kata töörakendusi

Töörakenduse liiklus tekib töökasutajas ja kohaldatav võrgupoliitika on selle kasutaja oma. Isiklikus profiilis loodud tunnel ei kanna seda, ükskõik kui terve näidik välja näeb. See üks fakt selgitab enamikku teateid, kus kasutaja vannub, et VPN on ühendatud, ja üks konkreetne rakendus ei jõua ikkagi sisemise teenuseni.

Nimede lahendamine järgib sama piiri. Privaatsed DNS-sufiksid ja usaldusankrud on kasutajapõhised, seega sisemine hostinimi, mis lahendub isiklikus profiilis, võib tööprofiilis ebaõnnestuda ka näiliselt samaväärse tunneliga, sest lahendaja poliitika ja CA-hoidla on erinevad objektid.

Kontrollige tõelise registreerimise peal, mitte labori telefonis

Seadmes tehke kõigepealt kindlaks kirje omanik: milline kasutaja, milline pakett ja kas profiil tuli platvormi loojalt või rakenduselt, millel on oma VPN-teenus. Seejärel kinnitage, et profiili oodatav identiteet on tõesti selle kasutaja võtmehoidlas.

Testige elutsüklit, mitte ainult ühendust. Logige sisse, avage volitusandmete hoidla, laske tööprofiilil õhtuks pausile jääda, tooge see tagasi ja kontrollige, kas tunnel naaseb ilma käsitsi puudutuseta. Tööprofiil, mis lülitub pärast tööaega välja, viib oma tunneli kaasa, ja see on oodatav käitumine, mitte rike, kui oodatav kättesaamatu olek on kirja pandud.

Lõpuks testige töörakendust ennast tuntud sisemise lõpp-punkti vastu ja võrrelge isikliku profiili tulemusega. Need kaks tohivad erineda; erineda ei tohi omandimudel. Kui tunnel kuulub vale kasutajale, ei paranda seda ükski sertifikaatide uuesti väljastamine.

Ärge suruge asja jõuga, käivitades peidetud seadete tegevusi menüü paljastamiseks, ja ärge kopeerige profiilide vahel privaatvõtmeid, et ühendus ilmuks. VpnManageri viide dokumenteerib, mida kutsuja tohib luua; kui kinnitatud tee teie juhtumit ei hõlma, on see administraatori otsus, mitte seadete probleem.