VPN-i konfigureerimise keelamine Androidis: kasutuselevõtu kontrollnimekiri

Keegi palub teil takistada inimestel oma VPN-i konfigureerida hallatavatel Androidi seadmetel. Ahvatlev vastus on tulemüürireegel, mis blokeerib mõned tuntud pordid. See vastus jätab tähelepanuta, kuidas platvorm töötab ja kuidas rakendused tegelikult ühenduvad.

Toetatud juhtelement on halduspiirang seadmel või profiilil, mille omanik te olete, ning sellel on selge ulatus, versioonist sõltuv käitumine ja erand, mille peate teadlikult konfigureerima.

Käige allolevad viis kontrolli järjekorras läbi. Igaüks neist võib plaani kehtetuks muuta, seega peatuge esimesel, mis ei pea paika.

Kontroll 1: otsustage, mida tähendab ükski VPN

Sama lause taga peitub kaks nõuet. Üks on see, et ükski kasutaja ei tohi luua oma VPN-i. Teine on see, et töötada tohib ainult organisatsiooni kinnitatud VPN. Mõlemad on õigustatud ning annavad erinevad konfiguratsioonid, erinevad toe-lood ja erinevad rikkerežiimid.

Kirjutage üles, kumma te neist ostate, enne kui puudutate halduskonsooli. Kui kavatsus on üks kinnitatud tunnel kõigile, rakendate te kinnitatud teed koos keeluga selle ümber; kui kavatsus on üldse ilma tunneliteta, peate ka aktsepteerima, et kaugjuurdepääsu ja tõrkeotsingu teed muutuvad.

Kui teete siin vea, tundub kasutuselevõtt töötavat, samal ajal kui see vaikselt lõikab läbi VPN-i, millest operatsioon sõltub; selle avastab tavaliselt valves olev inimene ebamugaval tunnil.

Kontroll 2: kinnitage volitus, mis teil tegelikult on

Android paljastab piirangu UserManager.DISALLOW_CONFIG_VPN kaudu, dokumenteeritud UserManageri viites. See takistab VPN-i konfigureerimist ja käivitamist ning see ei ole säte, mida tavaline rakendus saaks rakendada iseendale või teistele rakendustele.

Seda rakendab volitatud administraator: seadmeomanik kogu seadme jaoks või profiiliomanik hallatava profiili jaoks, kusjuures sama volitus on saadaval profiiliomanikule hallatava profiili sees. Kui teie EMM ei saa tegutseda ühena neist, ei ole teil seda juhtelementi, ja ükski poliitikakonfiguratsioon konsoolis ei loo seda.

Ulatus loeb sama palju kui volitus. Tööprofiilile rakendatud piirang juhib seda profiili, mitte sama telefoni isiklikku poolt. Selle kirjeldamine kontrollina kõige üle, mida kasutaja teeb, on ebatäpne, ja seda testib esimene inimene, kes paigaldab VPN-i isiklikku profiili ja leiab, et see töötab.

Kontroll 3: teadke versioonipõhist käitumist

Piirang on väljaannete lõikes muutunud ja erinevused otsustavad, mida teie kasutuselevõtt välil olevatel seadmetel tegelikult teeb.

API 31 rida on see, mis inimesi kasutuselevõtu keskel üllatab: nendel seadmetel ei ole jõustamine kosmeetiline, see katkestab tunneli, mis juba töötas. Planeerige seda nähtava sündmusena, mitte vaikse sätete muudatusena.

API 24 rida on see, mis teid päästab: omaniku konfigureeritud püsiv VPN jääb piirangust ellu ja nii jääb kinnitatud tee üldse kättesaadavaks.

Kontroll 4: hoidke kinnitatud tee elus

Konfigureerige ja testige organisatsiooni püsivat VPN-i enne piirangu jõustamist, mitte pärast. Kui jõustate esmalt, kaotavad seadmed tunneli ja tööriistad, millega te neid diagnoosiksite, samal ajal.

Kontrollige selgesõnaliselt kolme asja: et püsiva VPN-i loob omanik, mitte kasutaja; et see käivitub neil seadmetel pärast jõustamist; ja et see peab vastu taaskäivitusele. Tunnel, mis tõuseb ainult käsitsi, ei ole kinnitatud tee; see on tugipiletite järjekord.

Hoidke taastetee, mis ei sõltu sellest, kas tunnel töötab. Halduskonsool, kohalik administraatori tee või ribaväline kanal kõik sobivad. Ei sobi eeldus, et saate katkise poliitika parandada ühenduse kaudu, mille poliitika just välja lülitas.

Kontroll 5: kontrollige ja kirjeldage siis piiri ausalt

Testige päris seadme ja päris kontoga. Kinnitage, et kasutaja ei saa VPN-i lisada ega käivitada, kinnitage, et kinnitatud tunnel ühendub ja kannab liiklust, ning kinnitage, et isiklik profiil käitub endiselt dokumenteeritult. Need kolm tulemust on vastuvõtukriteeriumid.

Seejärel olge ettevaatlik sellega, mida väidate. Piirang juhib Androidi VPN-i võimekust. See ei muuda iga lubatud ühendust kontrollitud protokolliks ega takista rakendust suunamast oma päringuid selgesõnalise puhverserveri kaudu. UDP 500, UDP 4500 ja ühe OpenVPN pordi blokeerimine ei ole sama juhtelement, sest liiklus võib liikuda paljude transportide kaudu, sealhulgas tavalisena näiva HTTPS-i kaudu.

Kui nõue on VPN-i võimekusest laiem, ühendage see rakenduste levituspoliitika, kontokontrollide ja keskkonnale sobivate võrgupiirangutega. Ja registreerige, mis jääb ulatusest välja, et keegi ei kordaks järgmises auditis osalist piirangut täielikuna.