مسدود کردن پیکربندی VPN در اندروید: چک‌لیست استقرار
سیاست را تعیین کنید، اختیاری را که دارید تأیید کنید، رفتار هر نسخه را بررسی کنید و مسیر تأییدشده همیشه‌روشن را پیش از اعمال، زنده نگه دارید.
کسی از شما می‌خواهد جلوی پیکربندی VPN شخصی افراد روی دستگاه‌های اندروید مدیریت‌شده را بگیرید. پاسخ وسوسه‌انگیز یک قاعده فایروال است که چند پورت آشنا را مسدود می‌کند. آن پاسخ نادیده می‌گیرد که پلتفرم چگونه کار می‌کند و برنامه‌ها در واقع چگونه متصل می‌شوند.
کنترل پشتیبانی‌شده یک محدودیت مدیریتی روی دستگاه یا پروفایلی است که مالک آن هستید، و دامنه صریح، رفتار وابسته به نسخه و استثنایی دارد که باید آگاهانه پیکربندی کنید.
پنج بررسی زیر را به ترتیب انجام دهید. هر یک می‌تواند طرح را باطل کند، پس در نخستین بررسی‌ای که برقرار نیست بایستید.
بررسی 1: تصمیم بگیرید نبود VPN چه معنایی دارد
دو الزام پشت یک جمله پنهان است. یکی اینکه هیچ کاربری نباید VPN خودش را بسازد. دیگری اینکه فقط VPN تأییدشده سازمان می‌تواند اجرا شود. هر دو مشروع‌اند و پیکربندی‌های متفاوت، روایت‌های پشتیبانی متفاوت و حالت‌های خرابی متفاوت تولید می‌کنند.
پیش از دست زدن به هر کنسول مدیریت، بنویسید کدام‌یک را می‌خرید. اگر قصد یک تونل تأییدشده برای همه است، مسیر تأییدشده‌ای با ممنوعیت پیرامون آن پیاده می‌کنید؛ اگر قصد هیچ تونلی است، باید بپذیرید که مسیرهای دسترسی از راه دور و عیب‌یابی نیز تغییر می‌کنند.
اگر این را اشتباه کنید، استقرار کارکننده به نظر می‌رسد در حالی که بی‌صدا VPNای را قطع می‌کند که عملیات به آن وابسته است، و معمولاً فرد کشیک در ساعتی نامناسب آن را کشف می‌کند.
بررسی 2: اختیاری را که واقعاً دارید تأیید کنید
اندروید این محدودیت را از طریق UserManager.DISALLOW_CONFIG_VPN در دسترس قرار می‌دهد که در مرجع UserManager مستند شده است. این محدودیت پیکربندی و راه‌اندازی VPN را جلوگیری می‌کند و تنظیمی نیست که هر برنامه معمولی بتواند روی خود یا برنامه‌های دیگر اعمال کند.
آن را مدیر مجاز اعمال می‌کند: مالک دستگاه برای کل دستگاه، یا مالک پروفایل برای پروفایل مدیریت‌شده، و همان اختیار برای مالک پروفایل درون پروفایل مدیریت‌شده نیز موجود است. اگر EMM شما نمی‌تواند به‌عنوان یکی از این‌ها عمل کند، این کنترل را ندارید و هیچ مقدار پیکربندی سیاست در کنسول آن را ایجاد نمی‌کند.
دامنه به اندازه اختیار مهم است. محدودیتی که روی پروفایل کاری اعمال می‌شود بر همان پروفایل حاکم است، نه بخش شخصی همان گوشی. توصیف آن به‌عنوان کنترل بر همه کارهای کاربر نادرست است و اولین کسی که VPN را در پروفایل شخصی نصب کند و ببیند کار می‌کند، آن را می‌آزماید.
بررسی 3: رفتار هر نسخه را بدانید
این محدودیت در نسخه‌های مختلف تغییر کرده است و تفاوت‌ها تعیین می‌کنند استقرار شما روی دستگاه‌های میدانی در واقع چه می‌کند.
| مرز پلتفرم | رفتار مستند |
|---|---|
| مالک دستگاه یا مالک پروفایل | محدودیت را می‌توان تحت اختیار آن مالک اعمال کرد |
| API 24 و بعد از آن | VPN همیشه‌روشنی که مالک دستگاه یا پروفایل پیکربندی کرده است هنوز توسط سیستم راه‌اندازی می‌شود |
| API 31 و بعد از آن | روشن کردن محدودیت، VPNای را که کاربر از پیش در حال اجرا داشت قطع می‌کند |
ردیف API 31 همان است که مردم را در میانه استقرار غافلگیر می‌کند: روی آن دستگاه‌ها اعمال محدودیت تشریفاتی نیست، تونلی را که از قبل در حال کار بود قطع می‌کند. آن را به‌عنوان رویدادی دیدنی و نه تغییر بی‌صدای تنظیمات برنامه‌ریزی کنید.
ردیف API 24 همان است که نجاتتان می‌دهد: VPN همیشه‌روشن پیکربندی‌شده توسط مالک از محدودیت جان سالم به در می‌برد و مسیر تأییدشده همین‌گونه اصلاً در دسترس می‌ماند.
بررسی 4: مسیر تأییدشده را زنده نگه دارید
VPN همیشه‌روشن سازمان را پیش از اعمال محدودیت پیکربندی و آزمایش کنید، نه بعد از آن. اگر اول اعمال کنید، دستگاه‌ها تونل و ابزارهایی را که با آن‌ها عیب‌یابی می‌کردید همزمان از دست می‌دهند.
سه چیز را صریحاً بررسی کنید: اینکه VPN همیشه‌روشن را مالک می‌سازد نه کاربر؛ اینکه پس از اعمال روی آن دستگاه‌ها راه‌اندازی می‌شود؛ و اینکه از راه‌اندازی مجدد جان سالم به در می‌برد. تونلی که فقط دستی بالا می‌آید مسیر تأییدشده نیست؛ صفی از تیکت‌های پشتیبانی است.
مسیر بازیابی‌ای نگه دارید که به بالا بودن تونل وابسته نباشد. کنسول مدیریت، مسیر مدیر محلی یا کانال خارج از باند همه کار می‌کنند. آنچه کار نمی‌کند این فرض است که می‌توانید سیاست خراب را از طریق همان اتصالی درست کنید که سیاست تازه آن را غیرفعال کرده است.
بررسی 5: بررسی کنید و سپس حد را صادقانه توصیف کنید
با دستگاهی واقعی و حسابی واقعی آزمایش کنید. تأیید کنید که کاربر نمی‌تواند VPN اضافه یا راه‌اندازی کند، تأیید کنید که تونل تأییدشده متصل می‌شود و ترافیک را حمل می‌کند، و تأیید کنید که پروفایل شخصی هنوز همان‌گونه که مستند شده رفتار می‌کند. آن سه نتیجه معیارهای پذیرش هستند.
سپس مراقب باشید چه ادعایی می‌کنید. این محدودیت بر توانایی VPN اندروید حاکم است. هر اتصال مجاز را به پروتکلی بازرسی‌شده تبدیل نمی‌کند و مانع نمی‌شود برنامه‌ای درخواست‌های خودش را از طریق یک پروکسی صریح مسیر دهد. مسدود کردن UDP 500، UDP 4500 و یک OpenVPN پورت همان کنترل نیست، زیرا ترافیک می‌تواند از بسیاری از حامل‌ها عبور کند، از جمله HTTPS که عادی به نظر می‌رسد.
اگر الزام گسترده‌تر از توانایی VPN است، این را با سیاست توزیع برنامه، کنترل‌های حساب و محدودیت‌های شبکه متناسب با محیط ترکیب کنید. و آنچه بیرون از دامنه می‌ماند را ثبت کنید تا کسی در حسابرسی بعدی محدودیت جزئی را به‌عنوان کامل تکرار نکند.