שני VPN בטלפון אחד: בוחרים את הסידור, לא את מספר האפליקציות

שימוש בשני VPN אינו בקשה אחת. זה יכול להיות הגעה לשתי ארגונים בזה אחר זה, הרחקה של אפליקציות עבודה מאפליקציות אישיות, או הרצת מנהרה אחת בתוך אחרת. Android מטפל בשלושת המקרים הללו בדרכים שונות לגמרי, ומספר אפליקציות ה-VPN המותקנות בטלפון אינו הארכיטקטורה. השאלה שמפרידה ביניהם פשוטה: האם שני מסלולים חייבים להתקיים באותו רגע עבור אותה אפליקציה?

שלושה סידורים, שאלה אחת

אם התשובה שלילית, מפני ששתי הרשתות משמשות בזמנים שונים, אתם רוצים החלפה מכוונת. אם התשובה שלילית מפני שהאפליקציות עצמן נפרדות, אתם רוצים הפרדת פרופילים, שבה כל אפליקציה יושבת בהקשר שבעל המנהרה שלה. אם התשובה חיובית, ומסלול אחד חייב לשאת את השני פיזית, אתם רוצים שרשרת, והיא היחידה מבין השלושה שבה הסדר הוא חלק מהעיצוב.

כל השאר נובע מהבחירה הזו. להחלפה יש חלון מעבר, להפרדה יש גבול מדיניות, ולשרשרת יש עלות תקורה ועלות תלות. בחירה בשגויה אינה נכשלת בצורה נקייה; היא מייצרת טלפון שנראה מחובר ואפליקציה שלא מגיעה לשום מקום.

החלפה בתוך הקשר משתמש אחד

Android מאפשר שירות VPN פעיל אחד לכל משתמש. הפעלת אפליקציית VPN שנייה באותו הקשר מחליפה את הראשונה או נדחית על הסף; היא לעולם אינה מרכיבה את שתי קבוצות המסלולים, ובוודאי אינה מערימה את ההצפנה שלהן. בתוך משתמש אחד, שתי מנהרות הן רצף, לא סכום.

זה מעשי כאשר הגישה באמת רציפה. תנו שמות לפרופילים כך שהפעיל יהיה ברור, סיימו כל דבר רגיש לפני ההחלפה, וצפו לחלון קצר שבו אף אחד משני המסלולים אינו מבוסס במלואו. סגירת לשונית דפדפן אינה זהה לסיום הפעלה: הלשונית יכולה לשמור על מצב החשבון שלה ופשוט לשלוח את הבקשה הבאה דרך הרשת שנבחרה זה עתה, וזו בדיוק הדליפה שאנשים מבחינים בה אחר כך.

מה שההחלפה לא יכולה לתת לכם הוא מכונה שנמצאת בשתי הרשתות בעת ובעונה אחת. אם אפליקציה זקוקה לכתובת פרטית מכל צד, שום משמעת לקוח לא תייצר אותה.

הפרדה לפי פרופיל

פרופיל עבודה מנוהל הוא משתמש נפרד עם האפליקציות, מאגר המפתחות ומדיניות הרשת שלו. לקוח דואר עבודה יכול להשתמש במנהרה של הארגון בעוד דפדפן אישי משתמש באחת אישית, ושניהם יכולים להיות מחוברים בו-זמנית משום שהם אינם באותו הקשר שמתחרה על המקום.

ההפרדה היא גם הגבול. הדפדפן האישי אינו שואל את מנהרת העבודה, אינו רואה את סיומות ה-DNS של העבודה ואינו מגיע לרשת העבודה רק משום ששני השירותים מוצגים כמחוברים. כשמישהו מדווח שקישור אינו נפתח, בדקו איזה עותק של האפליקציה טיפל בו ואיזה פרופיל מחזיק בחשבון הזה לפני שנוגעים באחד משני ה-VPN.

התייחסו לגבול כאל קבוע. יצירת פרופיל שני או הסרת פרופיל עבודה כדי לעקוף החלטת ניתוב של מעסיק הורסת בדיוק את ההפרדה שהפכה את הסידור לעובד, ובמכשיר מנוהל זה בדרך כלל הפרת מדיניות ולא כיוונון תצורה.

שרשרת, שבה הסדר הוא העיצוב

שרשרת היא הסידור שאנשים בדרך כלל מתכוונים אליו כשהם אומרים את שניהם בו-זמנית: המנהרה של הטלפון נוסעת בתוך המנהרה של הנתב. זה יכול לעבוד, והמגבלות ספציפיות. ספק החוץ חייב להתיר מסלול עובד לנקודת הקצה של ה-VPN של הטלפון, מה שלגבי פרוטוקולים מבוססי UDP פירושו ששירות החוץ אסור שיחסום או יגביל את התעבורה הזו.

הבינו מי רואה מה. ספק החוץ רואה חיבור לכיוון נקודת הקצה הפנימית. ספק הפנים מקבל את תעבורת הטלפון מהיציאה החיצונית ומעביר אותה הלאה. היעד הסופי רואה בדרך כלל את היציאה של השירות הפנימי, ואף ספק לאורך השרשרת אינו עיוור; חשבונות האפליקציות עדיין מזהים את המשתמש ללא קשר למסלול.

צפו לעלויות מעשיות. כל שכבה מוסיפה עטיפה, ולכן ה-MTU האפקטיבי יורד וערך שהיה תקין למנהרה אחת מתפצל או נתקע כעת עד שה-MTU של המנהרה הפנימית יוגדר בזהירות. שתי שכבות פירושן גם שתי תלויות כשל ושתי קבוצות של הודעות שמירה, ומנהרה פנימית מבוססת TCP מעל קישור חוץ עם אובדנים יכולה להיתקע בדרכים שנראות כמו שרת מת.

חשוב מכל, שרשרת אינה ממזגת שתי רשתות פרטיות. מסלולים, קידומות חופפות, פענוח DNS וכללי גישה נשארים החלטות נפרדות, ונתב שנושא VPN אחד בזמן שטלפון נושא אחר אינו מעניק לטלפון את שני מרחבי הכתובות.

בדקו את העיצוב לפני שאתם מאתרים בו תקלות

כתבו את הסידור במשפט אחד ובדקו אותו מול האפליקציה שנכשלה. גישה רציפה אמורה להראות מנהרה אחת בכל פעם; הפרדת פרופילים אמורה להראות כל אפליקציה במשתמש שלה; שרשרת אמורה להראות את המנהרה הפנימית מתייצבת מעל ממשק חוץ ולא מעל הממשק הפיזי.

adb shell ip -br addr
adb shell ip route get 10.20.0.8
adb shell dumpsys connectivity | grep -i vpn

אם חיפוש המסלול מציין את הממשק הפיזי בזמן שאפליקציה מצפה למנהרה, העיצוב וההקשר של האפליקציה אינם מסכימים, ושום אפליקציית VPN נוספת לא תיישב ביניהם. התיעוד על פרופילים מנוהלים מכסה את כללי ההפרדה אם אתם צריכים את פרט המדיניות ולא את פרט הניתוב.