VPN-konfiguráció tiltása Androidon: bevezetési ellenőrzőlista

Valaki arra kéri, akadályozza meg, hogy az emberek saját VPN-t konfiguráljanak a felügyelt Android-eszközökön. A csábító válasz egy tűzfalszabály, amely néhány ismert portot blokkol. Ez a válasz figyelmen kívül hagyja, hogyan működik a platform, és hogyan csatlakoznak valójában az alkalmazások.

A támogatott vezérlőelem egy felügyeleti korlátozás az Ön tulajdonában lévő eszközön vagy profilon, amelynek egyértelmű hatóköre, verziófüggő viselkedése és egy kivétele van, amelyet szándékosan kell konfigurálnia.

Járja végig az alábbi öt ellenőrzést sorrendben. Bármelyik érvénytelenítheti a tervet, ezért álljon meg az elsőnél, amely nem állja meg a helyét.

1. ellenőrzés: döntse el, mit jelent az, hogy nincs VPN

Két követelmény rejtőzik ugyanazon mondat mögött. Az egyik, hogy egyetlen felhasználó sem hozhat létre saját VPN-t. A másik, hogy csak a szervezet jóváhagyott VPN-je futhat. Mindkettő legitim, és különböző konfigurációkat, különböző támogatási történeteket és különböző hiba módokat eredményez.

Írja le, melyiket vásárolja meg, mielőtt bármilyen felügyeleti konzolhoz nyúlna. Ha a szándék egyetlen jóváhagyott alagút mindenkinek, akkor egy jóváhagyott útvonalat valósít meg egy körülötte lévő tilalommal; ha a szándék egyáltalán semmilyen alagút, akkor azt is el kell fogadnia, hogy a távoli hozzáférés és a hibaelhárítás útvonalai megváltoznak.

Ha ezt elrontja, a bevezetés működőnek tűnik, miközben csendesen elvágja azt a VPN-t, amelytől az üzemeltetés függ, és ezt általában az ügyeletes fedez fel egy alkalmatlan órában.

2. ellenőrzés: erősítse meg a tényleges jogosultságát

Az Android a korlátozást a UserManager.DISALLOW_CONFIG_VPN segítségével teszi elérhetővé, amelyet a UserManager-referencia dokumentál. Megakadályozza a VPN konfigurálását és indítását, és ez nem olyan beállítás, amelyet egy hétköznapi alkalmazás önmagára vagy más alkalmazásokra alkalmazhatna.

Egy feljogosított rendszergazda alkalmazza: eszköztulajdonos a teljes eszközre, vagy profiltulajdonos a felügyelt profilra, és ugyanez a jogosultság a felügyelt profilon belüli profiltulajdonos számára is elérhető. Ha az EMM-je nem tud ezek egyikeként eljárni, akkor nem rendelkezik ezzel a vezérlőelemmel, és a konzolban semmilyen szabályzatkonfiguráció nem hozza létre.

A hatókör ugyanolyan fontos, mint a jogosultság. A munkahelyi profilra alkalmazott korlátozás azt a profilt szabályozza, nem ugyanazon telefon személyes oldalát. Ezt úgy leírni, mint a felhasználó minden tevékenysége feletti ellenőrzést, pontatlan, és ezt az első ember fogja tesztelni, aki VPN-t telepít a személyes profilba, és azt tapasztalja, hogy működik.

3. ellenőrzés: ismerje a verziófüggő viselkedést

A korlátozás a kiadások során változott, és a különbségek határozzák meg, hogy a bevezetés valójában mit tesz a terepen lévő eszközökön.

Az API 31 sor az, amely meglepi az embereket a bevezetés közepén: ezeken az eszközökön a kényszerítés nem kozmetikai, bontja a már futó alagutat. Tervezze ezt látható eseményként, nem csendes beállításváltozásként.

Az API 24 sor az, amely megmenti Önt: a tulajdonos által konfigurált mindig bekapcsolt VPN túléli a korlátozást, és így marad egyáltalán elérhető a jóváhagyott útvonal.

4. ellenőrzés: tartsa életben a jóváhagyott útvonalat

Konfigurálja és tesztelje a szervezet mindig bekapcsolt VPN-jét a korlátozás kényszerítése előtt, nem utána. Ha előbb kényszeríti, az eszközök egyszerre veszítik el az alagutat és azokat az eszközöket, amelyekkel diagnosztizálná őket.

Három dolgot kifejezetten ellenőrizzen: hogy a mindig bekapcsolt VPN-t a tulajdonos hozza létre, nem a felhasználó; hogy a kényszerítés után elindul ezeken az eszközökön; és hogy túléli az újraindítást. Az az alagút, amely csak kézzel jön fel, nem jóváhagyott útvonal; az támogatási jegyek sora.

Tartson fenn egy helyreállítási útvonalat, amely nem függ attól, hogy az alagút működik-e. A felügyeleti konzol, a helyi rendszergazdai útvonal vagy a sávon kívüli csatorna mind működik. Az nem működik, ha azt feltételezi, hogy egy elromlott szabályzatot azon a kapcsolaton keresztül javíthat meg, amelyet a szabályzat éppen kikapcsolt.

5. ellenőrzés: ellenőrizze, majd írja le őszintén a határt

Valódi eszközzel és valódi fiókkal teszteljen. Erősítse meg, hogy egy felhasználó nem tud VPN-t hozzáadni vagy indítani; erősítse meg, hogy a jóváhagyott alagút csatlakozik és forgalmat szállít; és erősítse meg, hogy a személyes profil továbbra is a dokumentált módon viselkedik. Ez a három eredmény az elfogadási kritérium.

Utána legyen óvatos azzal, amit állít. A korlátozás az Android VPN-képességét szabályozza. Nem alakít minden engedélyezett kapcsolatot vizsgált protokollá, és nem akadályozza meg, hogy egy alkalmazás a saját kéréseit kifejezett proxyon keresztül irányítsa. Az UDP 500, az UDP 4500 és egy OpenVPN port blokkolása nem ugyanaz a vezérlőelem, mert a forgalom sok szállítón keresztül utazhat, beleértve a hétköznapinak tűnő HTTPS-t is.

Ha a követelmény szélesebb, mint a VPN-képesség, kombinálja ezt alkalmazásterjesztési szabályzattal, fiókvezérlőkkel és a környezethez illő hálózati korlátozásokkal. És rögzítse, mi marad a hatókörön kívül, hogy senki ne ismételje meg egy részleges korlátozást teljesként a következő audit során.