VPN:n määrittämisen estäminen Androidissa: käyttöönoton tarkistuslista
Päätä käytäntö, vahvista todellinen valtuutesi, tarkista versiokohtainen toiminta ja pidä hyväksytty aina päällä -polku elossa ennen kuin otat sen käyttöön.
Joku pyytää sinua estämään ihmisiä määrittämästä omaa VPN:ää hallinnoitavilla Android-laitteilla. Houkutteleva vastaus on palomuurisääntö, joka estää muutaman tutun portin. Se vastaus jättää huomiotta, miten alusta toimii ja miten sovellukset todella yhdistävät.
Tuettu valvonta on hallintarajoitus laitteessa tai profiilissa, jonka omistat, ja sillä on selkeä laajuus, versiosta riippuva toiminta ja poikkeus, joka sinun on määritettävä tarkoituksella.
Käy alla olevat viisi tarkistusta läpi järjestyksessä. Jokainen voi mitätöidä suunnitelman, joten pysähdy ensimmäiseen, joka ei pidä paikkaansa.
Tarkistus 1: päätä, mitä ei VPN:tä tarkoittaa
Saman lauseen takana on kaksi vaatimusta. Toinen on, ettei kukaan käyttäjä saa luoda omaa VPN:ää. Toinen on, että vain organisaation hyväksytty VPN saa käydä. Molemmat ovat oikeutettuja, ja ne tuottavat erilaiset kokoonpanot, erilaiset tukitarinat ja erilaiset vikatilat.
Kirjoita muistiin, kumman ostat, ennen kuin kosket hallintakonsoliin. Jos tarkoitus on yksi hyväksytty tunneli kaikille, toteutat hyväksytyn polun, jonka ympärillä on kielto; jos tarkoitus on ei tunneleita lainkaan, sinun on myös hyväksyttävä, että etäkäytön ja vianmäärityksen polut muuttuvat.
Jos tämä menee väärin, käyttöönotto näyttää toimivan mutta leikkaa hiljaa sen VPN:n, josta toiminta on riippuvainen, ja sen havaitsee yleensä päivystäjä hankalana hetkenä.
Tarkistus 2: vahvista valtuus, joka sinulla todella on
Android paljastaa rajoituksen UserManager.DISALLOW_CONFIG_VPN kautta, dokumentoitu UserManager-viitteessä. Se estää VPN:n määrittämisen ja käynnistämisen, eikä se ole asetus, jonka tavallinen sovellus voisi kohdistaa itseensä tai muihin sovelluksiin.
Sitä soveltaa valtuutettu ylläpitäjä: laiteomistaja koko laitteelle tai profiiliomistaja hallinnoidulle profiilille, ja sama valtuus on käytettävissä profiiliomistajalle hallinnoidun profiilin sisällä. Jos EMM:si ei voi toimia yhtenä näistä, sinulla ei ole tätä valvontaa, eikä mikään määrä käytäntömäärityksiä konsolissa luo sitä.
Laajuus on yhtä tärkeä kuin valtuus. Työprofiiliin sovellettu rajoitus hallitsee sitä profiilia, ei saman puhelimen henkilökohtaista puolta. Sen kuvaaminen valvonnaksi kaikesta, mitä käyttäjä tekee, on epätarkkaa, ja sitä testaa ensimmäinen henkilö, joka asentaa VPN:n henkilökohtaiseen profiiliin ja toteaa sen toimivan.
Tarkistus 3: tunne versiokohtainen toiminta
Rajoitus on muuttunut julkaisujen välillä, ja erot ratkaisevat, mitä käyttöönotto todella tekee kentällä olevilla laitteilla.
| Alustan raja | Dokumentoitu toiminta |
|---|---|
| Laite- tai profiiliomistaja | Rajoitus voidaan soveltaa kyseisen omistajan valtuudella |
| API 24 ja uudemmat | Järjestelmä käynnistää edelleen aina päällä olevan VPN:n, jonka laite- tai profiiliomistaja on määrittänyt |
| API 31 ja uudemmat | Rajoituksen päälle kytkeminen katkaisee VPN:n, joka käyttäjällä oli jo käynnissä |
API 31 -rivi on se, joka yllättää ihmiset kesken käyttöönoton: näillä laitteilla täytäntöönpano ei ole kosmeettista, se katkaisee tunnelin, joka oli jo käynnissä. Suunnittele se näkyväksi tapahtumaksi eikä hiljaiseksi asetusmuutokseksi.
API 24 -rivi on se, joka pelastaa sinut: omistajan määrittämä aina päällä oleva VPN selviää rajoituksesta, ja näin hyväksytty polku pysyy ylipäätään saatavilla.
Tarkistus 4: pidä hyväksytty polku elossa
Määritä ja testaa organisaation aina päällä oleva VPN ennen kuin otat rajoituksen käyttöön, älä sen jälkeen. Jos otat sen ensin käyttöön, laitteet menettävät tunnelin ja työkalut, joilla diagnosoisit niitä, samanaikaisesti.
Vahvista kolme asiaa nimenomaisesti: että aina päällä olevan VPN:n luo omistaja eikä käyttäjä; että se käynnistyy näillä laitteilla käyttöönoton jälkeen; ja että se kestää uudelleenkäynnistyksen. Tunneli, joka nousee vain käsin, ei ole hyväksytty polku; se on tukipyyntöjen jono.
Pidä palautuspolku, joka ei riipu siitä, että tunneli on ylhäällä. Hallintakonsoli, paikallinen ylläpitopolku tai kaistan ulkopuolinen kanava toimivat kaikki. Se ei toimi, että oletat voivasi korjata rikkoutuneen käytännön yhteyden kautta, jonka käytäntö juuri poisti käytöstä.
Tarkistus 5: vahvista ja kuvaile sitten raja rehellisesti
Testaa oikealla laitteella ja oikealla tilillä. Vahvista, ettei käyttäjä voi lisätä tai käynnistää VPN:ää, vahvista, että hyväksytty tunneli yhdistää ja kuljettaa liikennettä, ja vahvista, että henkilökohtainen profiili käyttäytyy edelleen dokumentoidusti. Nämä kolme tulosta ovat hyväksymiskriteerit.
Ole sitten varovainen sen suhteen, mitä väität. Rajoitus hallitsee Androidin VPN-ominaisuutta. Se ei muuta jokaista sallittua yhteyttä tarkastetuksi protokollaksi eikä estä sovellusta reitittämästä omia pyyntöjään eksplisiittisen välityspalvelimen kautta. UDP 500:n, UDP 4500:n ja yhden OpenVPN portin estäminen ei ole sama valvonta, koska liikenne voi kulkea monien kuljetusten kautta, mukaan lukien tavalliselta näyttävä HTTPS.
Jos vaatimus on laajempi kuin VPN-ominaisuus, yhdistä tämä sovellusten jakelukäytäntöön, tilivalvontoihin ja ympäristöön sopiviin verkkorajoituksiin. Ja kirjaa, mikä jää laajuuden ulkopuolelle, jotta kukaan ei toista osittaista rajoitusta täydellisenä seuraavassa auditoinnissa.