Rastititko yhden sovelluksen OpenVPN:ssä? Listan perusta ratkaisee
Sama rastitettu paketti tarkoittaa mukaan ottamista tai pois jättämistä listan perustasta riippuen. Valitse ensin vain-mukaan, yhdistä uudelleen ja testaa sitten koko työnkulku.
Valintaruutu näyttää koko päätökseltä, eikä se Androidissa ole sitä. Sama rastitettu paketti tarkoittaa ”vain tämä sovellus käyttää VPN:ää” vain-mukaan-perustalla ja ”tämä sovellus ohittaa VPN:n” valitut-poissulkevalla perustalla. Ihmiset asentavat asiakasohjelman, löytävät Sallitut sovellukset -nimisen listan, rastittavat ainoan paketin, joka heitä kiinnostaa, ja lähtevät politiikalla, joka tekee päinvastoin. Asiakasohjelman vaihtaminen auttaa harvoin; perustan valitseminen ennen listaan koskemista auttaa.
Perusta on politiikka, ei valintaruutu
Androidin VpnService:n kautta asiakasohjelma määrittää sovelluskohtaisen reitityksen addAllowedApplication tai addDisallowedApplication -komennolla. Ensimmäinen rajaa tunnelin listattuihin paketteihin, toinen tunneloi kaiken paitsi ne. Asiakasohjelmat käärelevät molemmat käyttöliittymään, joka voi näyttää lähes identtiseltä, ja jotkut nimeävät osion listan eivätkä tilan mukaan, joten pelkkä osion otsikko ei kerro, mikä perusta on käytössä.
Lue listan yläpuolella olevaa tilan säädintä, älä otsikkoa. Alkuperäisessä OpenVPN for Android -asiakasohjelmassa sallittujen sovellusten listalla on sekä vain-mukaan- että valitut-poissulkeva perusta, ja brändätty versio voi muotoilla molemmat eri tavoin säilyttäen samat kaksi toimintatapaa. Kuvakaappaus toisesta asiakasohjelmasta tai saman vanhemmasta versiosta ei ole todiste siitä tilasta, jossa olet.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Tuo taulukko on koko myytti. Sovelluksen rastittaminen on väite yhdestä paketista; perusta päättää, onko väite ”ota se mukaan” vai ”jätä se pois”.
Ensin tila, sitten paketti
Toimi tässä järjestyksessä, sillä yhden perustan alla tehty valinta voi selvitä tilan vaihdoksesta ja kääntää vaikutuksensa hiljaa:
- Tunnista todellinen paketti ja onko se henkilökohtaisen vai työprofiilin kopio.
- Avaa sovellusvalinnan asetukset täsmälleen sille VPN-profiilille, johon yhdistät.
- Aseta perusta, jonka merkitys on ”vain valitut sovellukset käyttävät VPN:ää”.
- Ota aiottu paketti mukaan ja jätä liittymättömät sovellukset joukon ulkopuolelle.
- Yhdistä uudelleen, jotta asiakasohjelma rakentaa käyttöliittymän uudelleen uudella listalla.
Profiili on yhtä tärkeä kuin paketti. Asiakasohjelmalla voi olla useita profiileja, ja sovelluskohtainen valinta kuuluu sille, johon todella yhdistät; sellaisen profiilin muokkaaminen, jota et koskaan käytä, ei muuta mitään. Hallitulla laitteella työprofiili on erillinen käyttäjä ja sillä on oma kopionsa sovelluksesta ja oma politiikkansa, joten se, että henkilökohtainen instanssi on tunnelissa, ei kerro työinstanssista mitään.
Yhdistä uudelleen ennen kuin arvioit tulosta
VpnService lukee sovelluslistat, kun tunnelin käyttöliittymä muodostetaan. Käynnissä oleva tunneli ei välttämättä ota listamuutosta käyttöön, ja asiakasohjelmat eroavat siinä, rakentavatko ne automaattisesti uudelleen vai odottavatko ne, että katkaiset ja yhdistät uudelleen.
Jos muutos näyttää tekevän ei mitään, testaa uudelleenyhdistäminen ennen kuin epäilet listaa. Tee sitten tuore pyyntö sen sijaan, että lataisit uudelleen sivun, joka oli jo auki: sovellus, joka pitää yllä muodostettua yhteyttä, on huono testikohde, ja näkemäsi tulos voi kuulua vanhalle käyttöliittymälle.
Työnkulkusi voi poistua sovelluksesta
Sovellus voi siirtää kirjautumisen selaimelle, asiakirjakatselimelle tai jakokohteelle. Vain-mukaan-perustalla nämä apurit ovat tunnelin ulkopuolella, joten työnkulku voi epäonnistua puolivälissä, vaikka ensimmäinen sovellus olisi määritetty oikein. Ota apuri mukaan vain, jos työnkulku todella tarvitsee sitä, ja lisää se tarkoituksella sen sijaan, että löytäisit sen esittelyn aikana.
Sovelluskohtainen valinta ei myöskään korvaa yhteyden omaa reitityspolitiikkaa. Profiilin on yhä kannettava kohdeprefiksit ja osoiteperheet, joita sovellus käyttää, ja yhdyskäytävän on yhä sallittava palvelu. Oikein listattu sovellus, jonka kohde on saavuttamaton, näyttää samalta kuin väärin määritetty lista.
Testaa molemmat puolet ja kirjoita politiikka muistiin
Testaa yksi tuore pyyntö mukana olevassa sovelluksessa ja yksi sovelluksessa, jonka odotetaan pysyvän ulkona. Vertaa lähtöosoitetta ja pääsyä yksityiseen resurssiin ja toista uudelleenyhdistämisen jälkeen. Jos organisaatiosi käyttää Androidin politiikkaa, joka estää yhteydet ilman VPN:ää, pois jätetty sovellus voidaan estää kokonaan sen sijaan, että se menisi suoraan; se on toimiva politiikka, ei vika, joka pitäisi kiertää.
Kirjaa tila, pakettien nimet profiileineen, mitkä sovellukset ohittavat, mitä osoiteperheitä tunneli kantaa ja mitä pitäisi tapahtua, kun tunneli on alhaalla. Jos asiakasohjelma ei pysty ilmaisemaan työnkulkua puhtaasti, valitse laajempi hyväksytty sovellusjoukko tai hallitun profiilin politiikka sen sijaan, että muokkaisit palomuurisääntöjä juuritasolla, mikä ei ole osa Androidin tuettua sovelluskohtaista mekanismia.