Non egon behar du Android suebaki arauak VPN-a piztuta dagoenean
VpnService bakarra egon daiteke aktibo, beraz suebaki aplikazioa eta VPN aplikazioa ez dira pilatzen. Joan lan-eskaera bat eta jarri arau bakoitza bere trafikoa benetan pasatzen den tokian.
Esaldi bakarreko politika duzu: aplikazio hau laneko zerbitzura irits daiteke, eta bestera ez. Hurrengo galdera produktu aukeraketa dirudi, baina kokapen galdera da, aplikazio puntu bakoitzak telefonoaren trafikoaren zati desberdina ikusten baitu. Ateak tunelera sartzen dena baino ez du ikusten. Telefono aldeko iragazkiak ikusteko baimena duena baino ez du ikusten. Eskaera bat bien artean pasatzeak erantzuna begi-bistakoa egiten du.
Hasi esalditik, ez produktutik
Zabaldu baldintza ezer aukeratu aurretik. Horrek paketea eta exekutatzen den profila esan nahi du, lan profileko aplikazioa beste erabiltzaile bat baita profil pertsonaleko aplikazio bera baino. Horrek helburua esan nahi du: ostalaria, ataka eta protokoloa, ez zerbitzu izen bat. Horrek izen hori ebazten duen DNS bidea esan nahi du, eta tunela erabilgarri ez dagoenean zer gertatu behar den ere bai.
Idatzita, adibidearen politikak lau lerro ditu: laneko aplikazioak laneko zerbitzura irits daiteke; ezin da beste inora iritsi; beste aplikazioak berdin jarraitzen dute; tunelik gabe, laneko aplikazioari ukatu egiten zaio, bide zuzenera erori beharrean. Lerro bakoitzak jabe bat du, eta ez dira jabe bera.
1. urratsa: zer aplika dezake telefonoak berak
Root gabeko Android suebakia VpnService bat da, trafikoa lokalki harrapatzen duena, atzean urruneko tunelik ez dagoenean ere. Androidek VPN zerbitzu aktibo bat baino ez du uzten erabiltzaile profil bakoitzeko, beraz bigarren suebaki aplikazioa ez da lehenengoaren atzean kateatzen. Hura ordezkatzen du, eta lehen aplikazioak iragazten zuen interfazea desagertu egiten da.
Horregatik, suebaki bat VPN bezero baten ondoan instalatzeak gutxitan ematen du jendeak espero duen konbinazioa. Suebakia abiarazi eta VPNa deskonektatzen bada, ez da ezer konbinatu; bik tokia trukatu dute. Interfaze bat ordezkatzea ez da lankidetza, eta sintoma beste aplikazioa irekitzen den bakoitzean etengabe erortzen den tunela da.
Onartutako antolaketak badaude: erabiltzen ari zaren VPN bezeroan txertatutako iragazketa, plataformaren kontrol kudeatuak gailuaren politika kontroladorearen edo lan profilaren bidez, edo hornitzaileak dokumentatzen duen arkitektura. Beste guztia aplikazio eguneraketa bakoitzaren ondoren berriro egiaztatu beharreko saiakuntza da.
2. urratsa: zer aplika dezake ateak
Trafikoa urruneko muturrean deszifratu ondoren, ateak aurrera bidalitako paketeak onartutako helbide, zerbitzu edo egiaztatutako VPN nortasunetara mugatu ditzake. Hori benetako aplikazioa da handik irteten den guztiarentzat, eta leku egokia da azpi-sare pribatuetarako sarbidea mugatzeko.
Jasotzen ez duena telefonoaren aplikazio nortasuna da, IP pakete arrunt bakoitzari itsatsita. Tunel helbide bat partekatzen duten hainbat aplikazio subjektu bakarra dira atearentzat, diseinuak helbide bereiziak edo nortasun egiaztatu bereiziak ematen ez badizkie behintzat. Beraz, atean erabiltzaileko araua ez da telefonoan aplikazioko araua, kudeaketa kontsola nahi duen moduan deitu arren.
3. urratsa: zerrendatu inoiz iristen ez dena
VPNtik kanpo utzitako aplikazioak gertuko gailu batekin harremanetan jartzen badu, ez da inoiz ateraino iristen, beraz irteerako suebakiak ezin du inoiz jasotzen ez duen pakete bat ukatu. Gauza bera gertatzen da etenaldi batean nahi gabeko bide zuzenarekin eta sarbide sare lokaleko sarrera esposizioarekin. Muga lokalak dira, definizioz.
Alderantzizkoa ere egia da: konexio bat baimentzen duen arau lokalak ez du sarbiderik ematen atearen sare pribatuaren ACLaren bidez. Eskaera bat bi mugen menpe egon daiteke, eta bat betetzeak ez du ezer esaten besteaz.
4. urratsa: esleitu arau bakoitza bide bati
Jarri erabakia taula batean ezer konfiguratu aurretik, gelaxka hutsak diseinuak huts egiten duen lekua baitira.
| Bidea | Nork aplika dezake | Puntu itsua |
|---|---|---|
| Laneko aplikazioa laneko zerbitzura, tunela irekita | Atearen ACLa helbide eta zerbitzuaren arabera, gehi beste bideen blokeo lokala | Ateak ez du ikusten zein aplikaziok bidali zuen paketea |
| Laneko aplikazioa beste helmuga batzuetara, tunela irekita | Aplikazioak ezagutzen dituen iragazki lokala, edo atea helmuga horiek han helbidetuta badaude | Iragazki lokalak VpnService aktiboa izan behar du |
| Laneko aplikazioa tunelik gabe | Ukazio lokala, aplikazioak bide zuzena har ez dezan | Iragazkiak tunelaren desagerpena gainditu behar du |
| Gertuko LAN gailua | Politika lokala baino ez | Ateak ez du inoiz ikusten |
Funtzionatzen duen forma bi lan dituen bi muga dira. Aplikazioak ezagutzen dituen muga lokalak telefonoaren jokabidea gobernatzen du, zuzeneko erorketa barne, eta atearen mugak urruneko baliabideak gobernatzen ditu. Atearen aldeak laneko zerbitzua onartu eta beste azpi-sare pribatu guztiak ukatu ditzake, eta telefono aldeko politikak bere erabakia hartzen du aplikazioak bestela hartuko lukeen bide zuzenari buruz.
5. urratsa: eutsi garraioari bizirik, eta gero egiaztatu
Aukeratzen duzun politika lokalak VPNa ezartzen eta mantentzen duen garraioa onartu behar du. Garraio hori blokeatzen baduzu, telefonoa tunelik eta politikarik gabe geratzen da, eta horrek ez du ezer koherenteki aplikatzen eta zaila da diagnostikatzen, aplikazioak sareik ez duelako besterik gabe.
Gero egiaztatu hasierako esaldiaren lerro bakoitza, inpresio orokorraren ordez: laneko aplikazioa laneko zerbitzura iristen da, aplikazio bera beste helmuga batean ukatzen da, lanekoa ez den aplikazioa lehen bezala jokatzen du, eta tunela geldituta laneko aplikazioa ez da zuzeneko konexiora erortzen. Egiaztatu DNS bidea bereizita, DNS pribatuak edo ebazle zifratuak helbideak soilik ikusten dituen iragazkia saihestu baitezakete.
Urrats horietako bat telefonoan bete ezin bada, baldintza arkitektura galdera da, ez suebaki ezarpena. Politika zuk kontrolatzen duzun gailu baten eta zuk kontrolatzen duzun ate baten artean banatzea da normalean erantzun zintzoa, eta Android VPN konektibitatearen dokumentazioa da plataformak zerbitzu bakarrari zer baimenduko dion eta zer ez egiaztatzeko lekua.