Por que unha VPN por aplicación non alcanza a copia de traballo dunha app de Android

Unha mesma aplicación aparece dúas veces nun teléfono con perfil de traballo, e as dúas copias non son o mesmo suxeito. Unha VPN por aplicación configurada dentro dun contexto goberna a instancia dese contexto, por iso unha regra que nomea o paquete pode deixar intacta a outra copia. Non é un fallo que haxa que sortear, é a fronteira do perfil facendo exactamente aquilo para o que foi deseñada. A pregunta que paga a pena responder é que contexto posúe a VPN e cal posúe a aplicación que intentas protexer.

Unha icona, dúas instalacións, dous propietarios da política

Android dálle ao perfil de traballo o seu propio contexto xestionado, con aplicacións, contas e política separadas, de xeito que o lanzador pode amosar dúas entradas que comparten nome e insignia. Un servizo VPN iniciado dentro dun contexto opera para os usuarios dese contexto, e ese é o mecanismo que hai detrás de todo o problema. A icona dinche que aplicación tocaches, non a que perfil pertence o tráfico resultante. Por iso o propietario debe lerse do perfil e non da imaxe.

Unha organización tamén pode impor un comportamento sempre activo ou de bloqueo sen VPN no lado xestionado, o que cambia o que ocorre cando o túnel está caído. O lado persoal non ten esa garantía, salvo que a construíses ti mesmo.

Que significa realmente unha lista de aplicacións permitidas

A compatibilidade de Android coa VPN por aplicación baséase en listas, documentadas na guía sobre usuarios de VPN e perfís de traballo, e os dous tipos de lista teñen valores predeterminados opostos. Unha lista de aplicacións permitidas significa que só os paquetes nomeados usan o túnel e todo o demais queda excluído, mentres que unha lista de aplicacións non permitidas significa que todo está incluído agás os paquetes nomeados. Se o invertes, construíches o contrario da política pretendida mentres a pantalla de axustes segue parecendo plausible. A lista avalíase dentro do contexto onde se executa a VPN, así que un nome de paquete presente nos dous perfís só coincide coa copia dese contexto. Un paquete non incluído no outro perfil simplemente non é asunto desta VPN.

Escribe o comportamento para as dúas ou tres aplicacións que importan, porque a diferenza entre todo-agás e só-estas decide se unha aplicación persoal se filtra arredor do túnel ou falla de forma pechada. Unha táboa pequena vence un parágrafo aquí: unha fila por perfil, co tipo de lista e o valor predeterminado para todo o demais.

Que lado executa o túnel, e baixo que política

Unha VPN de consumo non levanta os controis da organización do perfil xestionado, e unha VPN de perfil de traballo non é un túnel xeral para aplicacións persoais. Se a organización esixe o seu propio cliente para as aplicacións xestionadas, o cliente persoal é un acordo distinto coa súa propia política e os seus propios modos de fallo. Decide que mecanismo debe transportar que tráfico antes de comparar resultados, ou estarás medindo dous sistemas e chamándolle fallo á diferenza. Dentro do seu propio contexto o lado xestionado adoita gañar, e ese é o comportamento previsto.

O caso incómodo é unha aplicación xestionada que necesita unha ruta que a política xestionada non fornece. Iso é unha solicitude de excepción á organización, non un motivo para desactivar o perfil de traballo.

Probar a instancia que realmente querías

Abre a copia que che importa e inspecciona a solicitude desde dentro, porque unha comprobación do enderezo público no navegador persoal non di nada sobre a aplicación de traballo. Verifica por separado a conta conectada e a resolución de nomes interna, xa que un nome interno pode depender da ruta xestionada mentres a navegación pública queda noutro sitio. Anota que copia produciu que resultado no momento da proba, e pon o perfil na etiqueta; unha captura con dúas iconas idénticas non é unha proba. Repite a comprobación tras unha reconexión e despois de que o perfil se volva crear, porque a política pode aplicarse de novo entrementres.

Se non podes dicir que copia respondeu, arranxa o etiquetado antes de sacar calquera conclusión. Un resultado ambiguo é peor ca ningún, porque despois se cita como se resolveu a cuestión.

Documentar a cobertura para que a próxima proba sobreviva

Rexistra tres feitos xuntos para cada contexto: a instancia da aplicación, o propietario da política e a cobertura esperada. Iso abonda para que a seguinte persoa reproduza a túa proba sen adiviñar que icona abriu. Engade o tipo de lista e o valor predeterminado para os paquetes non incluídos, porque é a parte que a xente le mal con máis frecuencia.

Despois verifica un nome interno e un enderezo externo de cada lado, e anota o que debería ocorrer cando o lado xestionado bloquee a VPN persoal. Un teléfono no que ningún dos dous lados está cuberto mentres ambos parecen conectados é o fallo contra o que paga a pena deseñar. Cando os dous perfís realmente necesitan un túnel, planifica dous acordos en lugar dunha regra enxeñosa.