Android पर IKEv2 VPN प्रोफ़ाइल प्रति उपयोगकर्ता हैं, प्रति डिवाइस नहीं

Android पर अंतर्निहित VPN वाक्यांश दो असंबंधित चीज़ों को कवर करता है: एक प्रोटोकॉल कार्यान्वयन जिसे प्लेटफ़ॉर्म आपकी ओर से चलाता है, और वह सेटिंग्स रूप जिसे निर्माता ने दिखाने का फैसला किया। ये एक ही वस्तु नहीं हैं, और इनमें से कोई भी यह गारंटी नहीं देता कि टनल उस उपयोगकर्ता की है जिसके ऐप्स को इसकी ज़रूरत है। प्रावधान किसी विशेष उपयोगकर्ता में विशेष कॉलिंग पैकेज के साथ होता है, और आगे सब कुछ वही संदर्भ विरासत में लेता है। सेटिंग्स स्क्रीन से पहले स्वामित्व श्रृंखला पढ़ें।

प्लेटफ़ॉर्म आपके लिए क्या बनाता है

Android 11 से प्लेटफ़ॉर्म VPN प्रावधान VpnManager के माध्यम से उजागर करता है। स्वीकृत ऐप IKEv2 प्रोफ़ाइल का वर्णन करता है, और प्लेटफ़ॉर्म स्वयं IPsec और IKE का आदान-प्रदान चलाता है, इसलिए ऐप कभी पैकेट को नहीं छूता। यह अपने स्वयं के VPN ऐप से महत्वपूर्ण अंतर है, जो VpnService लागू करता है और टनल अपनी प्रक्रिया में बनाता है।

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

ऊपर का कॉल आकार का स्केच है, नकल करने का ब्लॉक नहीं: बिल्डर में कई प्रमाणीकरण रूप हैं, वे API स्तर के अनुसार भिन्न हैं, और प्रोफ़ाइल सर्वर प्रमाणपत्र की विश्वास सामग्री भी रखती है। स्वामित्व प्रश्न के लिए महत्वपूर्ण बात वाक्यविन्यास से अधिक संकीर्ण है।

इस डिज़ाइन से दो गुण आते हैं। प्रोफ़ाइल डेटा है, इसलिए प्रशासक इसे हाथ से लिखने के बजाय प्रावधान कर सकता है। और टनल प्लेटफ़ॉर्म का नेटवर्क है, इसलिए ऐप्स इसे VPN ट्रांसपोर्ट वाले नेटवर्क के रूप में देखते हैं, किसी दूसरे ऐप के सॉकेट के रूप में नहीं।

स्वामित्व पहले उपयोगकर्ता है, फिर पैकेज

Android का बहु-उपयोगकर्ता वास्तविक पृथक्करण है, केवल लेबल नहीं। कार्य प्रोफ़ाइल एक अलग उपयोगकर्ता है जिसके अपने स्थापित पैकेज, अपना ऐप डेटा, अपना कुंजी-भंडार और अपने विश्वास-लंगर हैं। दोनों जगह स्थापित एक ही उत्पाद अलग उपयोगकर्ता पहचान वाले दो उदाहरण हैं, भले ही आइकन और उत्पाद नाम समान हों।

प्रावधान उस उपयोगकर्ता में कॉलिंग पैकेज के विरुद्ध दर्ज होता है। इसलिए व्यक्तिगत प्रोफ़ाइल में चलने वाला प्रावधान ऐप व्यक्तिगत टनल बनाता है, और कार्य प्रोफ़ाइल के कार्य ऐप्स उसका कुछ भी नहीं देखते। उल्टा भी सच है, इसीलिए कार्य प्रोफ़ाइल की टनल स्पष्ट नीति के बिना व्यक्तिगत ऐप्स के लिए अदृश्य है।

डिवाइस नीति नियंत्रक प्रबंधित प्रोफ़ाइल की ओर से प्रावधान कर सकता है, जो उस प्रविष्टि को समझाता है जिसे कार्यालय में किसी को बनाया हुआ याद नहीं है। यदि आप फ़ोन का ऑडिट कर रहे हैं, तो धूसर प्रोफ़ाइल का संभावित स्वामी वही है, और प्रयोग के तौर पर उसे मिटाना आपका काम नहीं है।

पैकेट के आगे बढ़ने से पहले तीन द्वार

पहला द्वार अधिकार है: प्रबंधन को VPN की अनुमति देनी होगी, और कुछ परिनियोजन अस्तित्व के साथ प्रकार भी सीमित करते हैं। दूसरा पहचान है: क्लाइंट प्रमाणपत्र या क्रेडेंशियल उस उपयोगकर्ता में उपलब्ध होने चाहिए जो प्रोफ़ाइल का स्वामी है, क्योंकि व्यक्तिगत भंडार में आयातित प्रमाणपत्र कार्य प्रोफ़ाइल को दिखाई नहीं देता।

तीसरा सहमति और नीति है। उपयोगकर्ता आमतौर पर पहले उपयोग पर कनेक्शन स्वीकृत करता है, और प्रशासक इसे अतिरिक्त रूप से हमेशा-चालू के रूप में पिन कर सकता है, वैकल्पिक रूप से लॉकडाउन के साथ ताकि ट्रैफ़िक टनल से बाहर न जा सके। ये सेटिंग्स तय करती हैं कि टनल गिरने पर क्या होता है, और यही वह हिस्सा है जो लोग नोटिस करते हैं।

दायरा वह जगह है जहाँ तीनों मिलते हैं। प्रोफ़ाइल गेटवे और पहचान तय करती है, जबकि नीति परत तय करती है कि कौन से ऐप्स टनल का उपयोग कर सकते हैं और क्या ट्रैफ़िक उससे होकर ज़बरदस्ती जाता है। इसलिए समान गेटवे पते वाले दो फ़ोन बहुत अलग व्यवहार कर सकते हैं।

व्यक्तिगत कनेक्शन कार्य ऐप्स को क्यों नहीं ढकता

कार्य ऐप का ट्रैफ़िक कार्य उपयोगकर्ता में उत्पन्न होता है, और लागू नेटवर्क नीति उसी उपयोगकर्ता की होती है। व्यक्तिगत प्रोफ़ाइल में स्थापित टनल उसे नहीं ढोती, संकेतक कितना भी स्वस्थ दिखे। यही एक तथ्य उन अधिकांश रिपोर्टों को समझाता है जहाँ उपयोगकर्ता कसम खाता है कि VPN जुड़ा है और कोई विशेष ऐप अब भी आंतरिक सेवा तक नहीं पहुँच पाता।

नाम हल करना उसी सीमा का पालन करता है। निजी DNS प्रत्यय और विश्वास-लंगर प्रति उपयोगकर्ता होते हैं, इसलिए व्यक्तिगत प्रोफ़ाइल में हल होने वाला आंतरिक होस्ट नाम कार्य प्रोफ़ाइल में विफल हो सकता है, बराबर दिखने वाली टनल के साथ भी, क्योंकि रिज़ॉल्वर नीति और CA भंडार अलग वस्तुएँ हैं।

वास्तविक नामांकन पर जाँचें, प्रयोगशाला फ़ोन पर नहीं

डिवाइस पर पहले प्रविष्टि का स्वामी पहचानें: कौन उपयोगकर्ता, कौन पैकेज, और प्रोफ़ाइल प्लेटफ़ॉर्म प्रावधानकर्ता से आई या अपनी VPN सेवा वाले ऐप से। फिर पुष्टि करें कि प्रोफ़ाइल जिस पहचान की अपेक्षा करती है वह वास्तव में उस उपयोगकर्ता के कुंजी-भंडार में है।

जीवन-चक्र जाँचें, केवल कनेक्शन नहीं। साइन इन करें, क्रेडेंशियल भंडार खोलें, कार्य प्रोफ़ाइल को शाम के लिए रुकने दें, फिर उसे वापस लाएँ और देखें कि टनल बिना हाथ के स्पर्श के लौटती है। कार्य समय के बाद बंद होने वाली कार्य प्रोफ़ाइल अपनी टनल साथ ले जाती है, और यह अपेक्षित व्यवहार है, खराबी नहीं, बशर्ते अपेक्षित अनुपलब्ध स्थिति लिखी गई हो।

अंत में, कार्य ऐप को ही किसी ज्ञात आंतरिक एंडपॉइंट पर जाँचें और व्यक्तिगत प्रोफ़ाइल के परिणाम से तुलना करें। दोनों भिन्न हो सकते हैं; जो भिन्न नहीं होना चाहिए वह स्वामित्व मॉडल है। यदि टनल गलत उपयोगकर्ता की है, तो प्रमाणपत्र फिर से जारी करने से कुछ ठीक नहीं होगा।

मेनू उजागर करने के लिए छिपी सेटिंग्स गतिविधियाँ शुरू करके बात को ज़बरदस्ती न करें, और कनेक्शन दिखाने के लिए प्रोफ़ाइलों के बीच निजी कुंजियाँ कॉपी न करें। VpnManager संदर्भ दर्ज करता है कि कॉलर क्या प्रावधान कर सकता है; यदि स्वीकृत मार्ग में आपका मामला शामिल नहीं है, तो यह प्रशासक का निर्णय है, सेटिंग्स की समस्या नहीं।