Android-eko IKEv2 VPN profilak erabiltzailearenak dira, ez gailuarenak

Androiden VPN integratua esamoldeak elkarrekin zerikusirik ez duten bi gauza biltzen ditu: plataformak zure izenean exekutatzen duen protokolo inplementazio bat eta fabrikatzaileak erakustea erabaki zuen ezarpen forma. Ez dira objektu bera, eta batek ere ez du bermatzen tunela aplikazioek behar duten erabiltzailearena denik. Horniketa erabiltzaile jakin batean eta dei egiten duen pakete jakin batekin gertatzen da, eta ondorengo guztiak testuinguru hori heredatzen du. Irakurri jabetza katea ezarpenen pantaila baino lehen.

Plataformak zuretzat zer eraikitzen duen

Android 11tik plataformak VPN horniketa VpnManager bidez erakusten du. Onartutako aplikazio batek IKEv2 profila deskribatzen du, eta plataformak berak egiten du IPsec eta IKE trukea, beraz aplikazioak ez du inoiz paketerik ukitzen. Hori da bere VPN aplikazio batekiko alde esanguratsua, VpnService inplementatzen baitu eta tunela bere prozesuan eraikitzen du.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

Goiko deia formaren zirriborroa da, ez kopiatzeko blokea: eraikitzaileak autentifikazio aldaera batzuk ditu, API mailaren arabera desberdinak dira, eta profilek zerbitzariaren ziurtagiriaren konfiantza materiala ere darama. Jabetza galderarako, garrantzitsua sintaxia baino estuagoa da.

Diseinu honetatik bi ezaugarri datoz. Profila datua da, beraz administratzaile batek horni dezake eskuz idatzi beharrean. Eta tunela plataformaren sarea da, beraz aplikazioek VPN garraio duen sare gisa ikusten dute, ez beste aplikazio baten socket gisa.

Jabetza erabiltzailea da, gero paketea

Androiden erabiltzaile anitz benetako bereizketa da, ez etiketa. Lan-profila erabiltzaile bereizi bat da, bere pakete instalatuekin, bere aplikazio datuekin, bere gako biltegiarekin eta bere konfiantza aingurekin. Bi tokietan instalatutako produktu bera bi instantzia dira, erabiltzaile identifikatzaile desberdinekin, nahiz eta abiarazlearen ikonoak eta produktu izenak berdinak izan.

Horniketa erabiltzaile horretako dei egiten duen paketeen aurka erregistratzen da. Beraz, profil pertsonalean exekutatzen den horniketa aplikazio batek tunel pertsonala sortzen du, eta lan-profileko lan aplikazioek ez dute haren ezer ikusten. Alderantzizkoa ere egia da, eta horregatik lan-profileko tunela ikusezina da aplikazio pertsonalentzat, beste modu batera dioen politika argirik gabe.

Gailuaren politika kontrolatzaile batek profil kudeatu baten izenean horni dezake, eta horrek bulegoan inork sortu zuela gogoratzen ez duen sarrera azaltzen du. Telefono bat ikuskatzen ari bazara, hori da profil gris baten jabe probablea, eta ez da zure zeregina esperimentu gisa ezabatzea.

Hiru ate pakete bat mugitu aurretik

Lehen atea agintea da: kudeaketak VPN-a baimendu behar du, eta hedapen batzuek mota ere mugatzen dute existentziaz gain. Bigarrena identitatea da: bezeroaren ziurtagiria edo kredentzialak profilearen jabe den erabiltzailean egon behar dira, biltegi pertsonalean inportatutako ziurtagiria ez baita lan-profilarentzat ikusgai.

Hirugarrena baimena eta politika dira. Erabiltzaileak normalean lehen erabileran onartzen du konexioa, eta administratzaileak gainera beti piztuta gisa finka dezake, nahi izanez gero blokeoarekin, trafikoa tunelatik kanpora ez ateratzeko. Ezarpen horiek erabakitzen dute tunela jaisten denean zer gertatzen den, eta hori da erabiltzaileek nabaritzen duten zatia.

Esparrua hirurak elkartzen diren tokia da. Profilek atebidea eta identitatea zehazten ditu, eta politika geruzak erabakitzen du zein aplikaziok erabil dezaketen tunela eta trafikoa haren bidez behartzen den. Beraz, atebide helbide berdinak dituzten bi telefono oso desberdin portatu daitezke.

Zergatik konexio pertsonalak ez dituen lan aplikazioak estaltzen

Lan aplikazio baten trafikoa lan erabiltzailean sortzen da, eta aplikagarria den sare politikak erabiltzaile horretakoa da. Profil pertsonalean ezarritako tunelak ez du hura garraiatzen, adierazleak zenbat eta osasuntsuago eman. Gertaera bakar horrek azaltzen ditu erabiltzaileak VPN konektatuta dagoela zin egiten duen eta aplikazio jakin batek barne zerbitzu batera iristen ez duen kasu gehienak.

Izenen ebazpenak muga bera jarraitzen du. DNS atzizki pribatuak eta konfiantza aingurak erabiltzaile bakoitzekoak dira, beraz profil pertsonalean ebazten den barne ostalari izen bat lan profilean huts egin dezake, itxuraz baliokide den tunelarekin ere, ebazlearen politika eta CA biltegia objektu desberdinak baitira.

Egiaztatu benetako izen-emate batean, ez laborategiko telefonoan

Gailuan, lehenik identifikatu sarreraren jabea: zein erabiltzaile, zein pakete, eta profila plataformaren hornitzailetik edo bere VPN zerbitzua inplementatzen duen aplikazio batetik etorri zen. Gero egiaztatu profilek espero duen identitatea benetan dagoela erabiltzaile horren gako biltegian.

Egiaztatu bizi zikloa, ez soilik konexioa. Hasi saioa, desblokeatu kredentzial biltegia, utzi lan-profila gauean pausatzen, gero ekarri berriro eta egiaztatu tunela ukipenik gabe itzultzen den. Lanorduetatik kanpo itzaltzen den lan-profilek tunela eramaten du, eta hori espero den portaera da eta ez akats bat, betiere espero den erabil-ezintasun egoera idatzita badago.

Azkenik, probatu lan aplikazioa bera barne amaiera puntu ezagun baten aurka eta alderatu profil pertsonalaren emaitzarekin. Biei desberdin izatea onartzen zaie; desberdin ezin dena jabetza eredua da. Tunela erabiltzaile okerrarena bada, ziurtagiriak berriro igortzeak ez du konponduko.

Ez behartu kontua menu bat agerian uzteko ezkutuko ezarpen jarduerak abiaraziz, eta ez kopiatu gako pribatuak profiletatik, konexioa ager dadin. VpnManager erreferentziak dokumentatzen du deitzaileak zer horni dezakeen; bidea onartuak zure kasua jasotzen ez badu, administratzailearen erabakia da, ez ezarpenen arazoa.