למה VPN לפי אפליקציה מפספס את עותק העבודה של אפליקציית Android
פרופיל עבודה הוא הקשר מנוהל נפרד, ולכן VPN לפי אפליקציה בפרופיל אחד יכול להשאיר את העותק האישי בלי שינוי. בדקו את הבעלים לפני הבדיקה.
אפליקציה אחת מופיעה פעמיים בטלפון עם פרופיל עבודה, ושתי העותקים אינם אותו נושא. VPN לפי אפליקציה שמוגדר בתוך הקשר אחד שולט במופע של אותו הקשר, ולכן כלל שמזכיר את החבילה עדיין יכול להשאיר את העותק השני בלי שינוי. זו אינה תקלה שצריך לעקוף, זהו גבול הפרופיל שעושה בדיוק את מה שהוא תוכנן לעשות. השאלה שראויה לתשובה היא איזה הקשר מחזיק ב-VPN ואיזה מחזיק באפליקציה שאתם מנסים להגן עליה.
סמל אחד, שתי התקנות, שני בעלים של המדיניות
Android נותן לפרופיל העבודה הקשר מנוהל משל עצמו, עם אפליקציות, חשבונות ומדיניות נפרדים, כך שהמשגר יכול להציג שתי רשומות שחולקות שם ותג. שירות VPN שמופעל בתוך הקשר אחד פועל עבור המשתמשים של אותו הקשר, וזהו המנגנון שמאחורי כל הבעיה. הסמל אומר איזו אפליקציה נגעתם בה, לא לאיזה פרופיל שייך התעבורה שנוצרת. לכן צריך לקרוא את הבעלים מהפרופיל ולא מהתמונה.
ארגון יכול גם לכפות התנהגות של תמיד-פעיל או חסימה ללא VPN בצד המנוהל, וזה משנה מה קורה כשהמנהרה למטה. לצד האישי אין הבטחה כזו, אלא אם בניתם אחת בעצמכם.
מה באמת אומרת רשימת אפליקציות מורשות
התמיכה של Android ב-VPN לפי אפליקציה בנויה על רשימות, כמתואר במדריך משתמשי VPN ופרופילי עבודה, וגם לשני סוגי הרשימות יש ערכי ברירת מחדל הפוכים. רשימת מורשות אומרת שרק החבילות הנקובות משתמשות במנהרה וכל השאר מוחרג, ואילו רשימת אסורות אומרת שהכל נכלל למעט החבילות הנקובות. אם תהפכו את זה, בניתם את ההיפך מהמדיניות המיועדת בזמן שמסך ההגדרות עדיין נראה סביר. הרשימה מוערכת בתוך ההקשר שבו ה-VPN פועל, ולכן שם חבילה שמופיע בשני הפרופילים תואם רק את העותק באותו הקשר. חבילה שאינה ברשימה בפרופיל האחר פשוט אינה עניינו של ה-VPN הזה.
כתבו את ההתנהגות עבור שתיים או שלוש אפליקציות שחשובות, כי ההבדל בין הכל-חוץ-מאלה לבין רק-אלה קובע אם אפליקציה אישית תדלוף סביב המנהרה או תיכשל סגור. טבלה קטנה מנצחת פסקה כאן: שורה אחת לכל פרופיל, עם סוג הרשימה וערך ברירת המחדל לכל השאר.
| Context | List type | Apps not named |
|---|---|---|
| Work profile | allowed only | excluded from the tunnel |
| Personal profile | disallowed | included in the tunnel |
איזה צד מריץ את המנהרה, ובתוך המדיניות של מי
VPN צרכני אינו מסיר את בקרות הארגון מהפרופיל המנוהל, ו-VPN של פרופיל עבודה אינו מנהרה כללית לאפליקציות אישיות. אם הארגון דורש לקוח משלו לאפליקציות המנוהלות, הלקוח האישי הוא הסדר נפרד עם מדיניות משלו ואופני כשל משלו. החליטו איזה מנגנון אמור לשאת איזו תעבורה לפני שתשוו תוצאות, אחרת אתם מודדים שתי מערכות וקוראים להבדל תקלה. בתוך ההקשר שלו הצד המנוהל בדרך כלל מנצח, וזו ההתנהגות המיועדת.
המקרה המסובך הוא אפליקציה מנוהלת שצריכה נתיב שהמדיניות המנוהלת אינה מספקת. זו בקשת חריגה לארגון, לא סיבה לכבות את פרופיל העבודה.
לבדוק את המופע שהתכוונתם אליו
הפעילו את העותק שאכפת לכם ממנו ובדקו את הבקשה מבפנים, כי בדיקת כתובת ציבורית בדפדפן האישי לא אומרת דבר על אפליקציית העבודה. אמתו בנפרד את החשבון המחובר ואת פתרון השמות הפנימי, מכיוון ששם פנימי יכול להיות תלוי בנתיב המנוהל בזמן שהגלישה הציבורית נשארת במקום אחר. רשמו איזה עותק הניב איזו תוצאה ברגע הבדיקה, ורשמו את הפרופיל בתווית; צילום מסך עם שני סמלים זהים אינו ראיה. חזרו על הבדיקה אחרי התחברות מחדש ואחרי שהפרופיל נוצר מחדש, כי המדיניות עשויה לחול שוב בינתיים.
אם אינכם יכולים לומר איזה עותק ענה, תקנו את התיוג לפני שתסיקו מסקנה. תוצאה עמומה גרועה מאין תוצאה, כי אחר כך מצטטים אותה כאילו הכריעה את השאלה.
לתעד את הכיסוי כדי שהבדיקה הבאה תשרוד
רשמו שלוש עובדות יחד לכל הקשר: מופע האפליקציה, בעל המדיניות והכיסוי הצפוי. זה מספיק כדי שהאדם הבא ישחזר את הבדיקה שלכם בלי לנחש איזה סמל הוא הפעיל. הוסיפו את סוג הרשימה ואת ברירת המחדל לחבילות שאינן ברשימה, כי זה החלק שאנשים קוראים לא נכון בתדירות הגבוהה ביותר.
לאחר מכן אמתו שם פנימי אחד וכתובת חיצונית אחת מכל צד, ורשמו מה אמור לקרות כשהצד המנוהל חוסם את ה-VPN האישי. טלפון שבו אף צד אינו מכוסה בזמן ששניהם נראים מחוברים הוא הכשל שראוי לתכנן נגדו. כששני הפרופילים באמת זקוקים למנהרה, תכננו שני הסדרים ולא כלל חכם אחד.