Android पर VPN कॉन्फ़िगरेशन रोकना: रोलआउट चेकलिस्ट
नीति तय करें, अपने पास मौजूद अधिकार की पुष्टि करें, संस्करण के अनुसार व्यवहार जाँचें, और लागू करने से पहले स्वीकृत हमेशा-चालू मार्ग को जीवित रखें।
कोई आपसे कहता है कि प्रबंधित Android डिवाइसों पर लोग अपना VPN कॉन्फ़िगर न कर सकें। लुभावना उत्तर कुछ परिचित पोर्ट रोकने वाला फ़ायरवॉल नियम है। वह उत्तर यह भूल जाता है कि प्लेटफ़ॉर्म कैसे काम करता है और ऐप्स वास्तव में कैसे जुड़ते हैं।
समर्थित नियंत्रण आपके स्वामित्व वाले डिवाइस या प्रोफ़ाइल पर एक प्रबंधन प्रतिबंध है, और इसका स्पष्ट दायरा, संस्करण-विशिष्ट व्यवहार और एक अपवाद है जिसे आपको जानबूझकर कॉन्फ़िगर करना होगा।
नीचे दी गई पाँच जाँचें क्रम से करें। हर एक योजना को अमान्य कर सकती है, इसलिए पहली ऐसी जाँच पर रुकें जो टिके नहीं।
जाँच 1: तय करें कि कोई VPN न होने का क्या अर्थ है
एक ही वाक्य के पीछे दो आवश्यकताएँ छिपी हैं। एक यह कि कोई भी उपयोगकर्ता अपना VPN न बना सके। दूसरी यह कि केवल संगठन का स्वीकृत VPN चल सके। दोनों वैध हैं, और वे अलग-अलग कॉन्फ़िगरेशन, अलग सहायता कहानियाँ और अलग विफलता विधियाँ देते हैं।
किसी भी प्रबंधन कंसोल को छूने से पहले लिख लें कि आप इनमें से कौन-सी खरीद रहे हैं। यदि मंशा सबके लिए एक स्वीकृत टनल है, तो आप चारों ओर प्रतिबंध के साथ स्वीकृत मार्ग लागू कर रहे हैं; यदि मंशा बिल्कुल टनल न होना है, तो आपको यह भी स्वीकार करना होगा कि दूरस्थ पहुँच और समस्या-निवारण के मार्ग बदल जाएँगे।
यहाँ गलती करें तो रोलआउट काम करता दिखेगा जबकि वह चुपचाप उस VPN को काट देगा जिस पर संचालन निर्भर है, और आमतौर पर ड्यूटी पर मौजूद व्यक्ति इसे किसी असुविधाजनक घड़ी में खोजता है।
जाँच 2: अपने पास वास्तव में मौजूद अधिकार की पुष्टि करें
Android इस प्रतिबंध को UserManager.DISALLOW_CONFIG_VPN के माध्यम से उजागर करता है, जो UserManager संदर्भ में प्रलेखित है। यह VPN कॉन्फ़िगरेशन और शुरुआत को रोकता है, और यह ऐसी सेटिंग नहीं है जिसे कोई सामान्य ऐप स्वयं पर या दूसरे ऐप्स पर लागू कर सके।
इसे एक अधिकृत प्रशासक लागू करता है: पूरे डिवाइस के लिए डिवाइस मालिक, या प्रबंधित प्रोफ़ाइल के लिए प्रोफ़ाइल मालिक, और वही अधिकार प्रबंधित प्रोफ़ाइल के भीतर प्रोफ़ाइल मालिक को भी उपलब्ध है। यदि आपका EMM इनमें से किसी एक की तरह काम नहीं कर सकता, तो आपके पास यह नियंत्रण नहीं है, और कंसोल में कितनी भी नीति कॉन्फ़िगर करें वह इसे नहीं बनाएगी।
दायरा अधिकार जितना ही मायने रखता है। कार्य प्रोफ़ाइल पर लागू प्रतिबंध उस प्रोफ़ाइल पर शासन करता है, उसी फ़ोन के निजी हिस्से पर नहीं। इसे उपयोगकर्ता के हर काम पर नियंत्रण बताना गलत है, और निजी प्रोफ़ाइल में VPN इंस्टॉल करके उसे काम करते देखने वाला पहला व्यक्ति इसे परखेगा।
जाँच 3: संस्करण के अनुसार व्यवहार जानें
यह प्रतिबंध संस्करणों के साथ बदला है, और ये अंतर तय करते हैं कि आपका रोलआउट फ़ील्ड में मौजूद डिवाइसों पर वास्तव में क्या करेगा।
| प्लेटफ़ॉर्म सीमा | प्रलेखित व्यवहार |
|---|---|
| डिवाइस मालिक या प्रोफ़ाइल मालिक | उस मालिक के अधिकार के अंतर्गत प्रतिबंध लागू किया जा सकता है |
| API 24 और बाद के | डिवाइस या प्रोफ़ाइल मालिक द्वारा कॉन्फ़िगर किया गया हमेशा-चालू VPN अब भी सिस्टम द्वारा शुरू किया जाता है |
| API 31 और बाद के | प्रतिबंध चालू करने से उपयोगकर्ता का पहले से चल रहा VPN डिस्कनेक्ट हो जाता है |
API 31 पंक्ति वही है जो लोगों को रोलआउट के बीच चौंकाती है: उन डिवाइसों पर प्रवर्तन दिखावटी नहीं है, यह पहले से चल रही टनल को डिस्कनेक्ट कर देता है। इसे मौन सेटिंग बदलाव के बजाय दृश्य घटना के रूप में योजना बनाएँ।
API 24 पंक्ति वही है जो आपको बचाती है: मालिक द्वारा कॉन्फ़िगर किया गया हमेशा-चालू VPN प्रतिबंध से बचा रहता है, और इसी तरह स्वीकृत मार्ग बिल्कुल उपलब्ध रहता है।
जाँच 4: स्वीकृत मार्ग को जीवित रखें
प्रतिबंध लागू करने से पहले संगठन का हमेशा-चालू VPN कॉन्फ़िगर करें और जाँचें, बाद में नहीं। यदि पहले लागू करेंगे, तो डिवाइस एक ही समय में टनल और उन्हें जाँचने के उपकरण दोनों खो देंगे।
तीन बातें स्पष्ट रूप से जाँचें: हमेशा-चालू VPN उपयोगकर्ता द्वारा नहीं बल्कि मालिक द्वारा बनाया गया है; वह लागू करने के बाद उन डिवाइसों पर शुरू होता है; और वह रीबूट के बाद भी टिकता है। केवल हाथ से ऊपर आने वाली टनल स्वीकृत मार्ग नहीं है; वह सहायता टिकटों की कतार है।
ऐसा रिकवरी मार्ग रखें जो टनल चालू होने पर निर्भर न हो। प्रबंधन कंसोल, स्थानीय एडमिन मार्ग या आउट-ऑफ़-बैंड चैनल सभी काम करते हैं। जो काम नहीं करता वह यह मानना है कि आप टूटी नीति को उसी कनेक्शन से ठीक कर सकते हैं जिसे नीति ने अभी बंद किया है।
जाँच 5: जाँचें, फिर सीमा को ईमानदारी से बताएँ
वास्तविक डिवाइस और वास्तविक खाते से परखें। पुष्टि करें कि उपयोगकर्ता VPN जोड़ या शुरू नहीं कर सकता, पुष्टि करें कि स्वीकृत टनल जुड़ती है और ट्रैफ़िक ले जाती है, और पुष्टि करें कि निजी प्रोफ़ाइल अब भी प्रलेखित व्यवहार करती है। वही तीन परिणाम स्वीकृति मानदंड हैं।
फिर सावधान रहें कि आप क्या दावा करते हैं। यह प्रतिबंध Android की VPN क्षमता पर शासन करता है। यह हर अनुमत कनेक्शन को जाँचे गए प्रोटोकॉल में नहीं बदलता, और यह किसी ऐप को अपने अनुरोध स्पष्ट प्रॉक्सी से भेजने से नहीं रोकता। UDP 500, UDP 4500 और एक OpenVPN पोर्ट को रोकना वही नियंत्रण नहीं है, क्योंकि ट्रैफ़िक सामान्य दिखने वाले HTTPS सहित कई वाहकों से जा सकता है।
यदि आवश्यकता VPN क्षमता से व्यापक है, तो इसे ऐप वितरण नीति, खाता नियंत्रण और परिवेश के अनुरूप नेटवर्क प्रतिबंधों के साथ जोड़ें। और जो दायरे से बाहर रहता है उसे दर्ज करें, ताकि अगले ऑडिट में कोई आंशिक प्रतिबंध को पूर्ण के रूप में न दोहराए।