Hol kell élnie egy Android tűzfal-szabálynak, amikor a VPN be van kapcsolva
Csak egy VpnService lehet aktív, ezért egy tűzfal-alkalmazás és egy VPN-alkalmazás nem rétegződik egymásra. Menjen végig egy munkakérésen, és tegyen minden szabályt oda, ahol a forgalma valóban elhalad.
Egyetlen házirend-mondata van: ez az alkalmazás elérheti a munka-szolgáltatást, és semmi mást. A következő kérdés termékválasztásnak tűnik, de helykérdés, mert minden lehetséges kikényszerítési pont a telefon forgalmának más részét látja. Az átjáró csak azt látja, ami a tunelbe belép. A telefon oldali szűrő csak azt látja, amit megfigyelni engedélyeztek neki. Egy kérés átvezetése mindkettőn nyilvánvalóvá teszi a választ.
Kezdje a mondattal, ne a termékkel
Bontsa ki a követelményt, mielőtt bármit választana. Ez a csomagot és a profilt jelenti, amelyben fut, mert a munka-profilban lévő alkalmazás más felhasználó, mint ugyanaz az alkalmazás a személyes profilban. Ez a célt jelenti: hoszt, port és protokoll, nem szolgáltatásnév. Ez a DNS-útvonalat jelenti, amely feloldja ezt a nevet, és azt is jelenti, mi történjen, amikor a tunel nem elérhető.
Leírva a példa házirendje négy sor: a munka-alkalmazás elérheti a munka-szolgáltatást; mást nem érhet el; a többi alkalmazás változatlan marad; tunel nélkül a munka-alkalmazás elutasításra kerül, ahelyett hogy közvetlen útra esne. Minden sornak van tulajdonosa, és nem mindegyik ugyanaz a tulajdonos.
1. lépés: mit tud maga a telefon kikényszeríteni
A root nélküli Android tűzfal egy VpnService, amely helyben fogja el a forgalmat, akkor is, ha mögötte nincs távoli tunel. Az Android felhasználói profilonként egy aktív VPN-szolgáltatást enged, ezért egy második tűzfal-alkalmazás nem láncolódik az első mögé. Lecseréli azt, és a felület, amelyet az első alkalmazás szűrt, eltűnik.
Ezért ad ritkán a várt kombinációt, ha valaki tűzfalat telepít egy VPN-kliens mellé. Ha a tűzfal elindul és a VPN megszakad, semmi nem kapcsolódott össze; a kettő helyet cserélt. A felület cseréje nem együttműködés, és a tünet az a tunel, amely folyamatosan elesik, valahányszor a másik alkalmazás megnyílik.
Támogatott elrendezések léteznek: a már használt VPN-kliensbe épített szűrés, eszközszabályzat-vezérlőn vagy munka-profilen keresztül kezelt platformvezérlés, vagy a gyártó által dokumentált architektúra. Minden más olyan kísérlet, amelyet minden alkalmazásfrissítés után újra ellenőrizni kell.
2. lépés: mit tud az átjáró kikényszeríteni
Amint a forgalom a távoli végponton visszafejtésre kerül, az átjáró a továbbított csomagokat jóváhagyott címekre, szolgáltatásokra vagy hitelesített VPN-identitásokra korlátozhatja. Ez valódi kikényszerítés mindenre, ami ott kifelé megy, és ez a megfelelő hely a privát alhálózatokhoz való hozzáférés korlátozására.
Amit nem kap meg, az a telefon alkalmazás-identitása, amely minden közönséges IP-csomaghoz kapcsolódik. Több alkalmazás, amely egy tunelcímet oszt meg, egyetlen alany az átjáró számára, hacsak a tervezés nem ad nekik külön címeket vagy külön hitelesített identitásokat. Ezért az átjárón a felhasználónkénti szabály nem alkalmazásonkénti szabály a telefonon, bármit is mond a felügyeleti konzol.
3. lépés: sorolja fel, ami soha nem érkezik meg
Egy VPN-ből kizárt alkalmazás, amely közeli eszközzel lép kapcsolatba, soha nem ér el az átjáróhoz, ezért a kimenő tűzfal nem utasíthat el olyan csomagot, amelyet soha nem kap meg. Ugyanez igaz a kiesés alatti nem szándékolt közvetlen útra és a helyi hozzáférési hálózaton érkező kitettségre. Ezek definíció szerint helyi határok.
A fordítottja is igaz: egy helyi szabály, amely engedélyez egy kapcsolatot, nem ad hozzáférést az átjáró privát hálózati ACL-jén keresztül. Egy kérés egyszerre lehet mindkét határ alatt, és az egyik teljesítése semmit nem mond a másikról.
4. lépés: rendeljen minden szabályt egy útvonalhoz
Tegye a döntést táblázatba, mielőtt bármit beállítana, mert az üres cellák azok a helyek, ahol a tervek elbuknak.
| Útvonal | Ki tudja kikényszeríteni | Vakfolt |
|---|---|---|
| Munka-alkalmazás a munka-szolgáltatáshoz, tunel él | Átjáró ACL címre és szolgáltatásra, plusz helyi blokk a többi útvonalon | Az átjáró nem látja, melyik alkalmazás küldte a csomagot |
| Munka-alkalmazás más célokhoz, tunel él | Helyi, alkalmazás-tudatos szűrő, vagy az átjáró, ha azokat a célokat ott címezték | A helyi szűrőnek az aktív VpnService-nek kell lennie |
| Munka-alkalmazás tunel nélkül | Helyi elutasítás, hogy az alkalmazás ne vehessen közvetlen utat | Megkívánja, hogy a szűrő túlélje a tunel eltűnését |
| Közeli LAN-eszköz | Csak helyi házirend | Az átjáró soha nem látja |
A működő forma két határ két feladattal. Az alkalmazás-tudatos helyi határ a telefon viselkedését irányítja, beleértve a közvetlen visszaesést, az átjáró határa pedig a távoli erőforrásokat. Az átjáró oldala engedélyezheti a munka-szolgáltatást és elutasíthat minden más privát alhálózatot, míg a telefon oldali házirend maga dönt egy közvetlen útvonalról, amelyet az alkalmazás egyébként választana.
5. lépés: tartsa életben a szállítást, aztán ellenőrizzen
Bármelyik helyi házirendet is választja, engedélyeznie kell a szállítást, amely létrehozza és fenntartja a VPN-t. E szállítás blokkolása tunnel és házirend nélkül hagyja a telefont, ami semmit nem kényszerít ki következetesen, és nehezen diagnosztizálható, mert az alkalmazásnak egyszerűen nincs hálózata.
Aztán ellenőrizze az eredeti mondat minden sorát, ne az összbenyomást: a munka-alkalmazás eléri a munka-szolgáltatást, ugyanaz az alkalmazás egy másik célon elutasításra kerül, a nem munka-alkalmazás úgy viselkedik, mint korábban, és leállított tunellel a munka-alkalmazás nem esik vissza közvetlen kapcsolatra. Az DNS-útvonalat külön ellenőrizze, mert a privát DNS vagy egy titkosított feloldó megkerülheti az csak címeket vizsgáló szűrőt.
Ha e lépések egyike nem teljesíthető a telefonon, a követelmény architektúra-kérdés, nem tűzfal-beállítás. A házirend megosztása egy Ön által irányított eszköz és egy Ön által irányított átjáró között általában az őszinte válasz, és az Android VPN-kapcsolódási dokumentáció az a hely, ahol megerősítheti, mit enged meg és mit nem enged meg a platform egyetlen szolgáltatásnak.