پروفایل‌های IKEv2 VPN در اندروید متعلق به کاربر است، نه دستگاه

عبارت VPN داخلی در اندروید دو چیز بی‌ارتباط را پوشش می‌دهد: پیاده‌سازی پروتکلی که پلتفرم به نمایندگی از شما اجرا می‌کند، و شکلی از تنظیمات که سازنده تصمیم گرفت نشان دهد. اینها یک شیء نیستند و هیچ‌کدام تضمین نمی‌کند که تونل به کاربری تعلق دارد که برنامه‌هایش به آن نیاز دارند. فراهم‌سازی در کاربری مشخص با بسته فراخوان مشخص رخ می‌دهد و هر چیز بعدی آن زمینه را به ارث می‌برد. زنجیره مالکیت را پیش از صفحه تنظیمات بخوانید.

پلتفرم چه چیزی برای شما می‌سازد

از اندروید 11 پلتفرم فراهم‌سازی VPN را از طریق VpnManager ارائه می‌کند. برنامه تأییدشده پروفایل IKEv2 را توصیف می‌کند و پلتفرم خودش تبادل IPsec و IKE را اجرا می‌کند، پس برنامه هرگز بسته‌ها را لمس نمی‌کند. این تفاوت معنادار با برنامه VPN اختصاصی است که VpnService را پیاده‌سازی می‌کند و تونل را در فرایند خود می‌سازد.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

فراخوان بالا طرحی از شکل است، نه بلوکی برای کپی: سازنده چند گونه احراز هویت دارد، بر اساس سطح API تفاوت می‌کنند و پروفایل مواد اعتماد گواهی سرور را نیز حمل می‌کند. برای پرسش مالکیت، نکته مهم باریک‌تر از نحو است.

دو ویژگی از این طراحی برمی‌آید. پروفایل داده است، پس مدیر می‌تواند آن را فراهم کند به جای آنکه دستی تایپ شود. و تونل شبکه‌ای از پلتفرم است، پس برای برنامه‌ها شبکه‌ای با ترابری VPN دیده می‌شود نه سوکت برنامه‌ای دیگر.

مالکیت اول کاربر است، سپس بسته

چندکاربری اندروید جداسازی واقعی است، نه برچسب. پروفایل کاری کاربری جداگانه با بسته‌های نصب‌شده، داده‌های برنامه‌ها، انبار کلید و لنگرهای اعتماد خودش است. همان محصول نصب‌شده در هر دو جا دو نمونه با شناسه‌های کاربری متفاوت است، حتی وقتی نمادها و نام محصول یکسان‌اند.

فراهم‌سازی در برابر بسته فراخوان در آن کاربر ثبت می‌شود. پس برنامه فراهم‌سازی که در پروفایل شخصی اجرا می‌شود تونل شخصی می‌سازد و برنامه‌های کاری در پروفایل کاری هیچ چیزی از آن نمی‌بینند. عکس آن هم درست است، و از این رو تونل پروفایل کاری بدون سیاست صریحی که خلاف آن را بگوید برای برنامه‌های شخصی نامرئی است.

کنترل‌کننده سیاست دستگاه می‌تواند به نمایندگی از پروفایل مدیریت‌شده فراهم‌سازی کند و این مدخلی را توضیح می‌دهد که هیچ‌کس در دفتر یادش نیست ساخته باشد. اگر گوشی را حسابرسی می‌کنید، او مالک احتمالی یک پروفایل خاکستری است و پاک کردنش به‌عنوان آزمایش کار شما نیست.

سه دروازه پیش از حرکت بسته

دروازه اول اختیار است: مدیریت باید اساساً VPN را اجازه دهد و برخی استقرارها نوع را نیز در کنار وجود محدود می‌کنند. دومی هویت است: گواهی مشتری یا اعتبارنامه‌ها باید در کاربری که پروفایل را دارد موجود باشد، زیرا گواهی واردشده به انبار شخصی برای پروفایل کاری دیده نمی‌شود.

سومی رضایت و سیاست است. کاربر معمولاً اتصال را در نخستین استفاده تأیید می‌کند و مدیر می‌تواند آن را به‌عنوان همیشه‌روشن تثبیت کند، به‌صورت اختیاری با قفل تا ترافیک نتواند از تونل بیرون برود. این تنظیمات تعیین می‌کنند هنگام افتادن تونل چه می‌شود و همان بخشی است که کاربران متوجه می‌شوند.

دامنه جایی است که هر سه به هم می‌رسند. پروفایل دروازه و هویت را تعیین می‌کند، در حالی که لایه سیاست تصمیم می‌گیرد کدام برنامه‌ها می‌توانند از تونل استفاده کنند و آیا ترافیک از آن عبور داده می‌شود. بنابراین دو گوشی با نشانی دروازه یکسان می‌توانند رفتار بسیار متفاوتی داشته باشند.

چرا اتصال شخصی برنامه‌های کاری را پوشش نمی‌دهد

ترافیک یک برنامه کاری در کاربر کاری تولید می‌شود و سیاست شبکه‌ای که اعمال می‌شود همان سیاست آن کاربر است. تونلی که در پروفایل شخصی برپا شده آن را حمل نمی‌کند، هر قدر نشانگر سالم به نظر برسد. همین یک واقعیت بیشتر گزارش‌هایی را توضیح می‌دهد که کاربر قسم می‌خورد VPN وصل است و یک برنامه خاص هنوز به سرویس داخلی نمی‌رسد.

حل نام نیز از همان مرز پیروی می‌کند. پسوندهای DNS خصوصی و لنگرهای اعتماد برای هر کاربر جداگانه‌اند، پس نام میزبان داخلی که در پروفایل شخصی حل می‌شود ممکن است در پروفایل کاری شکست بخورد، حتی با تونلی که ظاهراً هم‌ارز است، زیرا سیاست حل‌کننده و انبار CA دو شیء متفاوت‌اند.

در یک ثبت واقعی بررسی کنید، نه در گوشی آزمایشگاه

روی دستگاه نخست مالک مدخل را مشخص کنید: کدام کاربر، کدام بسته، و این‌که پروفایل از فراهم‌کننده پلتفرم آمده یا از برنامه‌ای با سرویس VPN خودش. سپس تأیید کنید هویتی که پروفایل انتظار دارد واقعاً در انبار کلید آن کاربر هست.

چرخه عمر را بیازمایید، نه فقط اتصال را. وارد شوید، انبار اعتبارنامه را باز کنید، بگذارید پروفایل کاری برای شب متوقف شود، سپس بازگردانید و بررسی کنید تونل بدون لمس دستی برمی‌گردد. پروفایل کاری که بعد از ساعت کاری خاموش می‌شود تونلش را با خود می‌برد و این رفتار مورد انتظار است نه عیب، به شرطی که وضعیت در‌دسترس‌نبودن مورد انتظار مکتوب باشد.

در پایان، خود برنامه کاری را در برابر یک نقطه پایانی داخلی شناخته‌شده بیازمایید و با نتیجه پروفایل شخصی مقایسه کنید. این دو می‌توانند متفاوت باشند؛ آنچه نباید متفاوت باشد مدل مالکیت است. اگر تونل به کاربر نادرست تعلق دارد، هیچ بازصداری گواهی آن را درست نمی‌کند.

با اجرای فعالیت‌های تنظیمات پنهان برای آشکار کردن منو موضوع را زور نکنید و کلیدهای خصوصی را بین پروفایل‌ها کپی نکنید تا اتصالی ظاهر شود. مرجع VpnManager مستند می‌کند فراخوان چه چیزی می‌تواند فراهم کند؛ اگر مسیر تأییدشده مورد شما را در بر نمی‌گیرد، آن تصمیم مدیر است نه مشکل تنظیمات.