IKEv2 VPN-profylen op Android binne per brûker, net per apparaat

De term ynboude VPN omfiemet op Android twa net besibbe dingen: in protokolymplemintaasje dy’t it platfoarm foar jo rint, en de foarm fan ynstellings dy’t de fabrikant besleat te toanen. Dat is net itselde objekt, en gjin fan beide garandearret dat de tunnel by de brûker heart waans apps him nedich hawwe. It oanmeitsjen bart yn in bepaald brûker mei in bepaald oanroppend pakket, en alles wat folget erft dat kontekst. Lês de eigenerskeatling foar it ynstellingsskerm.

Wat it platfoarm foar jo bout

Sûnt Android 11 toant it platfoarm VPN-oanmeitsjen fia VpnManager. In goedkarde app beskriuwt in IKEv2-profyl, en it platfoarm docht sels de IPsec- en IKE-útwikseling, sadat de app nea pakketten oanrekket. Dat is it betsjuttingsfolle ferskil mei in eigen VPN-app, dy’t VpnService ymplemintearret en de tunnel yn syn eigen proses bout.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

De oanrop hjirboppe is in skets fan de foarm, net in blok om te kopiearjen: de bouwer hat ferskate autentikaasjefarianten, se ferskille per API-nivo, en it profyl draacht ek it fertrouwensmateriaal fan it servercertifikaat. Foar de eigenerskipsfraach is it wichtichste smeller as de syntaksis.

Twa eigenskippen folgje út dit ûntwerp. It profyl is data, dus in behearder kin it oanmeitsje ynstee fan it mei de hân te typen. En de tunnel is in platfoarmnetwurk, dus hy ferskynt by apps as in netwurk mei VPN-transport en net as in socket fan in oare app.

Eigendom is de brûker, dan it pakket

It multibrûker fan Android is echte skieding, net in label. In wurkprofyl is in aparte brûker mei eigen ynstalleare pakketten, eigen appgegevens, eigen kaaiopslach en eigen fertrouwensankerpunten. Itselde produkt op beide plakken is twa eksimplaren mei ferskillende brûkersidentifikaasjes, sels as de starterbyldsjes en produktnammen identyk binne.

Oanmeitsjen wurdt registrearre tsjin it oanroppende pakket yn dat brûker. In oanmeitsjende app dy’t yn it persoanlike profyl rint makket dus in persoanlike tunnel, en de wurkapps yn it wurkprofyl sjogge dêr neat fan. It omkearde jildt ek, en dêrom is in wurkprofyltunnel ûnsichtber foar persoanlike apps sûnder in útdruklik belied dat oars seit.

In apparaatbeliedskontrôler kin oanmeitsje foar in beheard profyl oer, wat it item ferklearret dat nimmen op kantoar betinkt oanmakke te hawwen. As jo in tillefoan auditearje, is dat de wierskynlike eigner fan in griis profyl, en it is net oan jo om it as eksperimint te wiskjen.

Trije poarten foar’t in pakket beweecht

De earste poarte is foech: it behear moat in VPN tout court tastean, en guon útrullingen beheine sawol it type as it bestean. De twadde is identiteit: it kliïntcertifikaat of de bewiisstikken moatte beskikber wêze yn de brûker dy’t it profyl hat, want in certifikaat dat yn ‘e persoanlike kaaiopslach ymporteare is, is foar it wurkprofyl net sichtber.

De tredde is tastimming en belied. In brûker stimt meast by it earste gebrûk yn mei de ferbining, en in behearder kin har derneist fêstsette as altyd-oan, opsjoneel mei beskoatteling sadat ferkear net bûten de tunnel komme kin. Dy ynstellings beslute wat der bart as de tunnel del is, en dat is it part dat brûkers merke.

Berik is it plak dêr’t de trije gearkomme. It profyl bepaalt de poarte en de identiteit, wylst de beliedslaach beslút hokker apps de tunnel brûke meie en oft it ferkear der troch twongen wurdt. Dêrom kinne twa tillefoans mei identike poarteadressen har tige oars hâlde.

Wêrom’t in persoanlike ferbining wurkapps net dekt

Ferkear fan in wurkapp ûntstiet yn de wurkbrûker, en it jildende netwurkbelied is dat yn dy brûker. In tunnel dy’t yn it persoanlike profyl oanmakke is, draacht dat net, hoe sûn’t de yndikator der ek útsjocht. Dat iene feit ferklearret de measte rapporten wêryn’t in brûker swart dat de VPN ferbûn is en ien beskaat app dochs in ynterne tsjinst net berikke kin.

Namme-oplossing folget deselde grins. Partikuliere DNS-suffiksen en fertrouwensankerpunten binne per brûker, dus in yntern hostnamme dy’t yn it persoanlike profyl oplost, kin yn it wurkprofyl mislearje sels mei in lykweardich lykjende tunnel, want it resolverbelied en de CA-opslach binne ferskillende objekten.

Kontrolearje op in echte ynskriuwing, net op in laboratoariumtillefoan

Identifisearje op it apparaat earst de eigner fan it item: hokker brûker, hokker pakket, en oft it profyl fan de platfoarmoanmeitser of fan in app mei eigen VPN-tsjinst kaam. Befêstigje dan dat de identiteit dy’t it profyl ferwachtet echt yn ‘e kaaiopslach fan dy brûker sit.

Test de libbenssyklus, net allinne de ferbining. Meld oan, ûntslút de bewiisstikopslach, lit it wurkprofyl foar de jûn pauzearje, bring it werom en kontrolearje oft de tunnel weromkomt sûnder hânmjittich tikjen. In wurkprofyl dat nei oeren útskeakelet, nimt syn tunnel mei, en dat is ferwachte gedrach en gjin fout, mits de ferwachte net-beskikbere tastân opskreaun is.

Test op ‘t lêst de wurkapp sels tsjin in bekend yntern einpunt en fergelykje mei it resultaat fan it persoanlike profyl. De beide meie ferskille; wat net ferskille mei, is it eigenerskipsmodel. As de tunnel by de ferkearde brûker heart, sil gjin opnij útjaan fan certifikaten dat reparearje.

Twang it net troch ferburgen ynstellingsaktiviteiten te starten om in menu te toanen, en kopiearje gjin partikuliere kaaien tusken profylen om in ferbining ferskine te litten. De VpnManager-referinsje dokumintearret wat in oanropper oanmeitsje mei; as it goedkarde paad jo gefal net omfettet, is dat in beslút foar de behearder en gjin ynstellingsprobleem.