Gdje pravilo Android vatrozida mora živjeti kad je VPN uključen
Samo jedan VpnService može biti aktivan, pa se aplikacija vatrozida i VPN aplikacija ne slažu jedna na drugu. Prođite kroz jedan radni zahtjev i smjestite svako pravilo tamo gdje njegov promet zaista prolazi.
Imate jednu rečenicu politike: ova aplikacija smije doći do radne usluge i ničega drugog. Sljedeće pitanje izgleda kao izbor proizvoda, ali je pitanje mjesta, jer svaka moguća točka primjene vidi drugi dio prometa telefona. Pristupnik vidi samo ono što ulazi u tunel. Filter na strani telefona vidi samo ono što mu je dopušteno promatrati. Provođenje jednog zahtjeva kroz oboje čini odgovor očitim.
Počnite od rečenice, ne od proizvoda
Proširite zahtjev prije nego što bilo što odaberete. To znači paket i profil u kojem radi, jer je aplikacija u radnom profilu drugi korisnik od iste aplikacije u osobnom profilu. To znači odredište: host, port i protokol, a ne naziv usluge. To znači DNS put koji razrješava taj naziv i znači što se mora dogoditi kad tunel nije dostupan.
Zapisana, politika za primjer ima četiri retka: radna aplikacija smije doći do radne usluge; radna aplikacija ne smije doći ni do čega drugog; druge aplikacije ostaju nepromijenjene; bez tunela radnoj se aplikaciji odbija pristup umjesto da padne na izravni put. Svaki redak ima vlasnika i nisu svi isti vlasnik.
Korak 1: što sam telefon može provesti
Android vatrozid bez roota je VpnService koji hvata promet lokalno, čak i kada iza njega nema udaljenog tunela. Android dopušta jednu aktivnu VPN uslugu po korisničkom profilu, pa se druga aplikacija vatrozida ne ulančava iza prve. Ona je zamjenjuje i sučelje koje je prva aplikacija filtrirala nestaje.
Zato instaliranje vatrozida uz VPN klijent rijetko daje kombinaciju koju ljudi očekuju. Ako vatrozid krene a VPN se prekine, ništa nije spojeno; njih dvoje su zamijenili mjesta. Zamjena sučelja nije suradnja, a simptom je tunel koji stalno pada svaki put kad se otvori druga aplikacija.
Podržani rasporedi postoje: filtriranje ugrađeno u VPN klijent koji već koristite, upravljane platforme kontrole kroz kontroler pravila uređaja ili radni profil, ili arhitektura koju dokumentira proizvođač. Sve ostalo je eksperiment koji se mora ponovno provjeriti nakon svakog ažuriranja aplikacije.
Korak 2: što pristupnik može provesti
Kad se promet na udaljenom kraju dešifrira, pristupnik može ograničiti proslijeđene pakete na odobrene adrese, usluge ili autentificirane VPN identitete. To je stvarna primjena za sve što kroz njega izlazi i pravo mjesto za ograničavanje pristupa privatnim podmrežama.
Ono što ne dobiva je identitet aplikacije s telefona vezan uz svaki obični IP paket. Nekoliko aplikacija koje dijele jednu adresu tunela su jedan subjekt za pristupnik, osim ako im dizajn daje odvojene adrese ili odvojene autentificirane identitete. Zato pravilo po korisniku na pristupniku nije pravilo po aplikaciji na telefonu, kako god ga konzola za upravljanje nazvala.
Korak 3: navedite što nikada ne stiže
Aplikacija isključena iz VPN-a koja kontaktira obližnji uređaj nikada ne stiže do pristupnika, pa izlazni vatrozid ne može odbiti paket koji nikada ne primi. Isto vrijedi za nenamjeran izravni put tijekom prekida i za dolaznu izloženost na lokalnoj pristupnoj mreži. To su lokalne granice po definiciji.
Vrijedi i obrnuto: lokalno pravilo koje dopušta vezu ne daje pristup kroz ACL privatne mreže pristupnika. Jedan zahtjev može podlijegati objema granicama, a zadovoljenje jedne ne govori ništa o drugoj.
Korak 4: dodijelite svako pravilo putu
Stavite odluku u tablicu prije nego što bilo što konfigurirate, jer su prazne ćelije mjesto gdje dizajni propadaju.
| Put | Tko ga može provesti | Slijepa točka |
|---|---|---|
| Radna aplikacija do radne usluge, tunel aktivan | ACL pristupnika po adresi i usluzi, plus lokalna blokada ostalih puteva | Pristupnik ne vidi koja je aplikacija poslala paket |
| Radna aplikacija do drugih odredišta, tunel aktivan | Lokalni filter svjestan aplikacija, ili pristupnik ako su ta odredišta adresirana tamo | Lokalni filter mora biti aktivni VpnService |
| Radna aplikacija bez tunela | Lokalno odbijanje, da aplikacija ne može uzeti izravni put | Zahtijeva da filter preživi nestanak tunela |
| Obližnji LAN uređaj | Samo lokalna politika | Pristupnik to nikada ne vidi |
Izvediv oblik su dvije granice s dva posla. Lokalna granica svjesna aplikacija upravlja ponašanjem telefona, uključujući izravni pad, a granica pristupnika upravlja udaljenim resursima. Strana pristupnika može dopustiti radnu uslugu i odbiti svaku drugu privatnu podmrežu, dok politika na strani telefona donosi vlastitu odluku o izravnom putu koji bi aplikacija inače uzela.
Korak 5: održite transport živim, pa provjerite
Koju god lokalnu politiku odabrali, mora dopuštati transport koji uspostavlja i održava VPN. Blokiranje tog transporta ostavlja telefon bez tunela i bez politike, što ništa ne provodi dosljedno i teško se dijagnosticira, jer aplikacija jednostavno nema mrežu.
Zatim provjerite svaki redak izvorne rečenice, a ne ukupni dojam: radna aplikacija dolazi do radne usluge, istoj se aplikaciji odbija pristup na drugom odredištu, aplikacija koja nije radna ponaša se kao prije, i kad je tunel zaustavljen radna aplikacija ne pada na izravnu vezu. Provjerite DNS put odvojeno, jer privatni DNS ili šifrirani razrješivač može zaobići filter koji provjerava samo adrese.
Ako se jedan od tih koraka ne može zadovoljiti na telefonu, zahtjev je arhitektonsko pitanje, a ne postavka vatrozida. Podjela politike između uređaja kojim upravljate i pristupnika kojim upravljate obično je iskren odgovor, a dokumentacija Android VPN povezivanja je mjesto gdje potvrđujete što platforma hoće i neće dopustiti jednoj usluzi.