Kas töörakendus nõuab VPN-i? Kontrollige esmalt neid kolme kihti

Sõnum ütleb, et rakendus vajab VPN-i, kuid tavaliselt teatab rakendus sümptomist, mitte ei nimeta asja, mis selle blokeeris. Selle lause võivad tekitada kolm erinevat vastutajat: privaatne teenus, millega rakendus suhtleb, rakenduse enda poliitikakood ja seadmehalduskiht, mis juhib tööprofiili. See, kes küsib, muudab seda, mida peaksite tegema, ja ainult üks kolmest paraneb tunneliga ühendudes. Vastutaja esmalt leidmine säästab teid kliendi uuesti paigaldamisest, mis ei olnud kunagi probleem.

Mida rakendus ise kontrollida saab

Enne varjatud platvormireegli eeldamist pidage meeles, et tavaline rakendus näeb, kas VPN-transport on aktiivne. ConnectivityManager teatab võrkudest, mis kannavad TRANSPORT_VPN-i, ja NET_CAPABILITY_NOT_VPN-i puudumine ütleb igale kutsujale, et praegune tee on tunnelitud. Arendaja, kes soovib keelduda väljaspool tunnelit töötamast, saab seda teha avalike API-dega ja täiesti ilma ettevõtte tööriistadeta.

Mida rakendus nii näha ei saa, on see, kelle VPN see on. Transpordilipp ütleb, et tunnel on olemas, mitte et see lõpeb seal, kus teie organisatsioon ootab.

Teenuse tee: privaatsed nimed ja aadressid

Kõige tavalisem aus versioon sõnumist ei ole üldse poliitikakontroll. Rakendus lahendab sisemise hostinime, näiteks wiki või API-lõpp-punkti, mis eksisteerib ainult ettevõtte DNS-vaates, ja otsing ebaõnnestub enne, kui ükski poliitikakood käivitub. Tunnel võib olla üleval ja lasta läbi üldist internetiliiklust, samal ajal kui jagatud DNS saadab selle nime resolverile, kes pole sellest kunagi kuulnud.

Sümptomid on siin kitsad. Üks host ebaõnnestub, ülejäänud rakenduse võrgukutsed töötavad ja tõrge ilmneb nimeotsingu ajal, mitte käivitamisel. Sisemised sertifikaadid lisavad teise tõrkemooduse, sest organisatsiooni CA külge kinnitatud rakendus lükkab tagasi avaliku sertifikaadi ka siis, kui paketid liiguvad.

Juhusliku kommerts-VPN-i ühendamine ei paranda sellest midagi. See muudab teie väljumisaadressi ja jätab sisemise nime sama lahendamatuks.

Rakenduse poliitikakiht

Rakendus võib kanda ka oma väravat. Hallatavad konfiguratsioonid lubavad organisatsioonil saata võti-väärtuspaare, mille rakendus deklareerib, ja rakendus loeb neid RestrictionManageri kaudu. Võti, näiteks nõutav profiilinimi või lubatud võrkude loend, on täielikult arendaja disain, mida rakenduse koodis jõustatakse mis tahes veateksiga, mille see kood valib.

See kiht on koht, kus sõnastus end tavaliselt reedab. Kui sõnum ilmub kohe käivitamisel, enne ühtegi võrgukutset, ja mainib poliitikat, profiili või administraatorit, vaatate tõenäoliselt rakenduse loogikat, mitte kaduma läinud paketti.

Sama piirangu lugemine isiklikus seadmes on tupiktee. Haldamata seadmetes pole piiranguid lugeda, seega langeb rakendus tagasi sellele vaikeväärtusele, millega see ehitati.

Platvormikiht: alati sees ja lukustus

Seadmehaldus lisab jõustamise, mida rakendus ei saa mööda minna. Seadmepoliitika kontroller saab tööprofiili jaoks kutsuda setAlwaysOnVpnPackage'i, valikuliselt lukustusega, ja kui lukustus on sees, keeldub platvorm liiklusest, mis ei lähe läbi selle paketi. Blokeering on nähtav süsteemiseisundina, mitte rakenduse veana: ka teised profiili rakendused lakkavad võrku jõudmast.

Ulatus loeb. Alati sees olev VPN seadistatakse kasutajapõhiselt, seega tööprofiili pakett ei kata teie isiklikku profiili ja isiklik VPN ei rahulda tööprofiili paketti. Kaks profiili, kaks sõltumatut võrgupoliitikat, üks seade.

See on ka ainus kiht, kus seosetu VPN ei saa aidata, sest poliitika nimetab ühte konkreetset paketti.

Kolme eristamine

Minge signatuurid järjekorras läbi ja peatuge esimesel, mis sobib. Kui üks hostinimi ebaõnnestub, samal ajal kui kõik muu laheneb, viitab see teenuse teele. Kohene keeldumine käivitamisel poliitika sõnastusega viitab rakenduse loogikale. Kui terve profiil kaotab ühenduvuse alati, kui kinnitatud klient lahti ühendub, viitab see lukustusele. Ja rakendus, mis aktsepteerib ükskõik millist tunnelit, kontrollib transpordilippu, mitte teie organisatsiooni identiteeti.

Kasulikud tõendid: täpne tekst ja selle ajastus, kas sama profiili teistel rakendustel on veel ühenduvus, kas privaatne nimi laheneb kinnitatud tunneli sees ja kas seade näitab teie avatud rakenduse jaoks töömärki.

Mida tugiteenuse taotlusesse panna

Taotlus, mis nimetab kihi, suunatakse esimesel katsel õigesti. Midagi sellist: tööprofiili rakendus avaneb, ressursiloend ebaõnnestub pärast kinnitatud VPN-i ühendumist, privaatse nime lahendamine ebaõnnestub lubatud diagnostikas ja teised profiili rakendused töötavad edasi. See loetakse marsruudi või resolveri probleemina ja jätab vahele konto lähtestamise ahela.

Kui kinnitatud VPN puudub täielikult, on toetatud tee registreerimine või uuesti ettevalmistamine teie administraatori kaudu. Haldusprofiili eemaldamine, seosetu kliendi paigaldamine või võrguseisundi võltsimine muudab turvakorraldust, selle asemel et seda taastada.

Alustage kihist, mitte kliendist. Kolm ülaltoodud signatuuri lahendavad selle tavaliselt ühe seansiga.