Bi VPN telefono bakarrean: aukeratu antolamendua, ez aplikazio kopurua

Bi VPN erabiltzea ez da eskaera bakarra. Bi erakundera bata bestearen ondoren iristea, laneko eta pertsonaleko aplikazioak bereizita edukitzea edo tunel bat beste baten barruan exekutatzea esan nahi izan dezake. Androidek hiru kasu horiek erabat modu desberdinean kudeatzen ditu, eta telefonoan instalatutako VPN aplikazio kopurua ez da arkitektura. Horiek bereizten dituen galdera sinplea da: bi bide aldi berean egon behar al dute aplikazio bererako?

Hiru antolamendu, galdera bat

Erantzuna ez bada, bi sareak une desberdinetan erabiltzen direlako, nahita egindako aldaketa nahi duzu. Erantzuna ez bada aplikazioak berak bereiziak direlako, profilen bereizketa nahi duzu, non aplikazio bakoitza bere tunelaren jabe den testuinguruan kokatzen den. Erantzuna bai bada eta bide batek bestea fisikoki eraman behar badu, kate bat nahi duzu, eta hiruretatik bakarra da ordena diseinuaren parte dena.

Gainerako guztia aukera horretatik dator. Aldaketak trantsizio-leiho bat du, bereizketak politika-muga bat, eta kateak gainkarga eta menpekotasun kostua ditu. Okerra aukeratzeak ez du garbi huts egiten; konektatuta dirudien telefonoa eta ezer inora iristen ez den aplikazioa sortzen ditu.

Aldaketa erabiltzaile-testuinguru bakarrean

Androidek VPN zerbitzu aktibo bat baimetzen du erabiltzaileko. Testuinguru berean bigarren VPN aplikazio bat abiarazteak lehena ordezten du edo erabat ukatzen da; inoiz ez ditu bi bide-multzoak konposatzen, eta inola ere ez du haien zifraketa pilatzen. Erabiltzaile baten barruan, bi tunel segida bat dira, ez batura.

Bideragarria da sarbidea benetan sekuentziala denean. Izendatu profilak aktiboa begi-bistakoa izan dadin, amaitu zerbait sentikor guztia aldatu aurretik, eta itxaron leiho labur bat non bi bideetatik bat ere ez dagoen erabat ezarrita. Nabigatzailearen fitxa bat ixtea ez da saio bat amaitzearen berdina: fitxak bere kontuaren egoera gorde dezake eta hurrengo eskaera aukeratu berri den sarearen bidez bidali besterik ez du egin behar, eta horixe da jendeak geroago nabaritzen duen ihesa.

Aldaketak eman ezin dizuna aldi berean bi sareetan dagoen makina bat da. Aplikazio batek alde bakoitzetik helbide pribatu bat behar badu, bezeroaren diziplina-kantitateak ez du sortuko.

Profilaren araberako bereizketa

Kudeatutako lan-profila erabiltzaile bereizi bat da, bere aplikazioak, giltza-biltegia eta sare-politika dituena. Laneko posta-bezero batek erakundearen tunela erabil dezake, eta nabigatzaile pertsonal batek pertsonala; biak aldi berean konektatuta egon daitezke, ez baitaude plaza lortzeko lehian ari den testuinguru berean.

Bereizketa ere muga da. Nabigatzaile pertsonalak ez du laneko tunela maileguan hartzen, ez ditu laneko DNS atzizkiak ikusten eta ez da laneko sarea iristen bi zerbitzuak konektatuta agertzen direlako soilik. Norbaitek esteka bat irekitzen ez dela jakinarazten duenean, egiaztatu aplikazioaren zein kopiak kudeatu zuen eta zein profilek daukan kontu hori, bi VPNetako edozeini ukitu aurretik.

Tratatu muga finkotzat. Bigarren profil bat sortzeak edo lan-profila kentzeak, enpresaburuaren bideratze-erabakia saihesteko, antolamendua funtzionarazi zuen bereizketa bera suntsitzen du, eta kudeatutako gailu batean normalean politika-urraketa da, ez konfigurazio-doikuntza.

Kate bat, non ordena diseinua den

Kate bat jendeak biak aldi berean esaten duenean normalean adierazten duen antolamendua da: telefonoaren tunela routerraren tunelaren barruan bidaiatzen du. Lan egin dezake, eta murrizketak zehatzak dira. Kanpoko hornitzaileak telefonoaren VPN amaierarako bide funtzionala baimendu behar du, eta horrek UDPn oinarritutako protokoloetarako esan nahi du kanpoko zerbitzuak ezin duela trafiko hori blokeatu edo murriztu.

Ulertu nork zer ikusten duen. Kanpoko hornitzaileak barneko amaierarantzako konexio bat ikusten du. Barneko hornitzaileak telefonoaren trafikoa kanpoko irteeratik jasotzen du eta aurrera bidaltzen du. Azken helmugak barneko zerbitzuaren irteera ikusten du normalean, eta kateko inongo hornitzaile ez da itsua; aplikazio-kontuek erabiltzailea identifikatzen jarraitzen dute bidea edozein dela ere.

Itxaron kostu praktikoak. Geruza bakoitzak kapsulatzea gehitzen du, beraz MTU eraginkorra jaisten da eta tunel baterako ona zen balio bat orain zatikatu edo blokeatzen da barneko tunelaren MTU kontserbadoreki ezarri arte. Bi geruzak hutsegite-menpekotasun bi eta mantentze-mezu multzo bi ere badira, eta galerak dituen kanpoko lotura baten gaineko TCPn oinarritutako barneko tunela zerbitzari hildako baten itxurako moduetan blokea daiteke.

Garrantzitsuena: kate batek ez ditu bi sare pribatu batzen. Bideak, gainjarritako aurrizkiak, DNS ebazpena eta sarbide-arauak erabaki bereiziak izaten jarraitzen dute, eta VPN bat daraman routerrak, telefonoak beste bat daramala, ez dio telefonoari bi helbide-espazioak ematen.

Egiaztatu diseinua araztu aurretik

Idatzi antolamendua esaldi bakarrean eta probatu huts egin zuen aplikazioarekin. Sarbide sekuentzialak tunel bat erakutsi beharko luke aldiko; profilen bereizketak aplikazio bakoitza bere erabiltzailean erakutsi beharko luke; kate batek barneko tunela kanpoko interfaze baten gainean ezartzen dela erakutsi beharko luke, fisikoaren gainean ez.

adb shell ip -br addr
adb shell ip route get 10.20.0.8
adb shell dumpsys connectivity | grep -i vpn

Bide-kontsultak interfaze fisikoa izendatzen badu aplikazio batek tunela espero duen bitartean, diseinua eta aplikazioaren testuingurua ez datoz bat, eta ez du inolako VPN aplikazio gehigarrik horiek adiskidetuko. Kudeatutako profilen dokumentazioak bereizketa-arauak biltzen ditu, politika-xehetasuna behar baduzu eta ez bideratzearena.