חסימת תצורת VPN ב-Android: רשימת בדיקה להפצה

מישהו מבקש מכם למנוע מאנשים להגדיר VPN משלהם במכשירי Android מנוהלים. התשובה המפתה היא כלל חומת אש שחוסם כמה פורטים מוכרים. התשובה הזו מחמיצה את אופן הפעולה של הפלטפורמה ואת האופן שבו אפליקציות מתחברות בפועל.

הבקרה הנתמכת היא הגבלת ניהול על המכשיר או הפרופיל שבבעלותכם, ויש לה היקף מפורש, התנהגות התלויה בגרסה וחריג שעליכם להגדיר במכוון.

עברו על חמש הבדיקות שלהלן לפי הסדר. כל אחת מהן עלולה לבטל את התוכנית, אז עצרו בראשונה שאינה מתקיימת.

בדיקה 1: החליטו מה פירושו של אין VPN

שתי דרישות מסתתרות מאחורי אותו משפט. האחת היא שאף משתמש לא יוכל ליצור VPN משלו. האחרת היא שרק ה-VPN המאושר של הארגון יוכל לפעול. שתיהן לגיטימיות, ושתיהן מייצרות תצורות שונות, סיפורי תמיכה שונים ואופני כשל שונים.

רשמו איזו מהשתיים אתם קונים לפני שאתם נוגעים בקונסולת ניהול כלשהי. אם הכוונה היא מנהרה מאושרת אחת לכולם, אתם מיישמים מסלול מאושר עם איסור סביבו; אם הכוונה היא בלי מנהרות כלל, עליכם גם לקבל שמסלולי גישה מרחוק ופתרון תקלות ישתנו.

טעו בזה וההפצה תיראה עובדת בזמן שהיא מנתקת בשקט את ה-VPN שהתפעול תלוי בו, דבר שמגלה בדרך כלל התורן בשעה לא נוחה.

בדיקה 2: אשרו את הסמכות שבאמת יש לכם

Android חושף את ההגבלה דרך UserManager.DISALLOW_CONFIG_VPN, המתועד באסמכתא של UserManager. היא מונעת תצורה והפעלה של VPN, והיא אינה הגדרה שכל אפליקציה רגילה יכולה להחיל על עצמה או על אפליקציות אחרות.

היא מוחלת על ידי מנהל מורשה: בעל מכשיר לכל המכשיר, או בעל פרופיל לפרופיל המנוהל, כאשר אותה סמכות זמינה גם לבעל פרופיל בתוך הפרופיל המנוהל. אם ה-EMM שלכם אינו יכול לפעול כאחד מאלה, אין לכם בקרה זו, ושום כמות של תצורת מדיניות בקונסולה לא תיצור אותה.

ההיקף חשוב לא פחות מהסמכות. הגבלה המוחלת על פרופיל עבודה חולשת על אותו פרופיל, ולא על הצד האישי של אותו טלפון. לתאר זאת כשליטה על כל מה שהמשתמש עושה זה לא מדויק, וזה ייבדק על ידי האדם הראשון שיתקין VPN בפרופיל האישי ויגלה שזה עובד.

בדיקה 3: הכירו את ההתנהגות לפי גרסה

ההגבלה השתנתה בין גרסאות, וההבדלים קובעים מה ההפצה שלכם תעשה בפועל במכשירים בשטח.

שורת API 31 היא זו שמפתיעה אנשים באמצע ההפצה: במכשירים האלה האכיפה אינה קוסמטית, היא מנתקת מנהרה שכבר פעלה. תכננו זאת כאירוע גלוי ולא כשינוי הגדרות שקט.

שורת API 24 היא זו שמצילה אתכם: VPN תמידי שהוגדר על ידי הבעל שורד את ההגבלה, וכך המסלול המאושר נשאר זמין בכלל.

בדיקה 4: שמרו על המסלול המאושר בחיים

הגדירו ובדקו את ה-VPN התמידי של הארגון לפני שאתם אוכפים את ההגבלה, לא אחרי. אם תאכפו קודם, המכשירים יאבדו את המנהרה ואת הכלים שבהם הייתם מאבחנים אותם בו-זמנית.

אמתו שלושה דברים במפורש: שה-VPN התמידי נוצר על ידי הבעל ולא על ידי המשתמש, שהוא מופעל במכשירים האלה לאחר האכיפה, ושהוא שורד אתחול. מנהרה שעולה רק ידנית אינה מסלול מאושר; היא תור של קריאות תמיכה.

שמרו על מסלול התאוששות שאינו תלוי בכך שהמנהרה פעילה. קונסולת ניהול, מסלול מנהל מקומי או ערוץ מחוץ לפס כולם עובדים. מה שלא עובד הוא להניח שתוכלו לתקן מדיניות שבורה דרך החיבור שהמדיניות בדיוק השביתה.

בדיקה 5: אמתו, ואז תארו את הגבול ביושר

בדקו עם מכשיר אמיתי וחשבון אמיתי. אשרו שמשתמש אינו יכול להוסיף או להפעיל VPN, אשרו שהמנהרה המאושרת מתחברת ונושאת תעבורה, ואשרו שהפרופיל האישי עדיין מתנהג כמתועד. שלוש התוצאות האלה הן קריטריוני הקבלה.

אחר כך היזהרו ממה שאתם טוענים. ההגבלה חולשת על יכולת ה-VPN של Android. היא אינה הופכת כל חיבור מותר לפרוטוקול נבדק, ואינה מונעת מאפליקציה לנתב את הבקשות שלה דרך פרוקסי מפורש. חסימת UDP 500, UDP 4500 ופורט OpenVPN אחד אינה אותה בקרה, כי תעבורה יכולה לעבור דרך נשאים רבים, כולל HTTPS שנראה רגיל.

אם הדרישה רחבה מיכולת ה-VPN, שלבו זאת עם מדיניות הפצת אפליקציות, בקרות חשבון והגבלות רשת המתאימות לסביבה. ותעדו מה נשאר מחוץ להיקף, כדי שאיש לא יחזור על הגבלה חלקית כעל מלאה בביקורת הבאה.