Bejelöltél egy appot az OpenVPN-ben? A lista alapja dönt
Ugyanaz a bejelölt csomag befoglalást vagy kizárást jelent a lista alapjától függően. Először válaszd a csak-befoglalást, csatlakozz újra, majd teszteld a teljes munkafolyamatot.
A jelölőnégyzet az egész döntésnek tűnik, Androidon mégsem az. Ugyanaz a bejelölt csomag a csak-befoglalás alapon azt jelenti, hogy „csak ez az app használja a VPN-t”, a kijelöltek-kizárása alapon pedig azt, hogy „ez az app megkerüli a VPN-t”. Az emberek telepítenek egy klienst, találnak egy Engedélyezett appok nevű listát, bejelölik az egyetlen csomagot, ami számít nekik, és távoznak egy olyan házirenddel, amely az ellenkezőjét teszi. A kliens cseréje ritkán segít; az alap kiválasztása a lista megérintése előtt segít.
Az alap a házirend, nem a jelölőnégyzet
Az Android VpnService keretében a kliens alkalmazásonkénti útvonalválasztást állít be a addAllowedApplication vagy a addDisallowedApplication segítségével. Az első a listázott csomagokra korlátozza az alagutat, a második mindent rajtuk kívül vezet át az alagúton. A kliensek mindkettőt olyan felületbe csomagolják, amely szinte azonosnak tűnhet, és egyesek a szakaszt a lista, nem a mód szerint nevezik el, így a szakasz címe önmagában nem mondja meg, melyik alap aktív.
A lista feletti módvezérlőt olvasd, ne a címet. Az eredeti OpenVPN for Android kliensben az engedélyezett appok listájának van csak-befoglalás és kijelöltek-kizárása alapja is, és egy márkázott build mindkettőt másképp fogalmazhatja meg, miközben ugyanazt a két viselkedést tartja. Egy másik kliensből vagy ugyanannak egy régebbi verziójából származó képernyőkép nem bizonyíték arra a módra, amelyben vagy.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Az a táblázat az egész mítosz. Az app bejelölése egyetlen csomagra vonatkozó állítás; az alap dönti el, hogy az állítás „foglald bele” vagy „zárd ki”.
Először a mód, aztán a csomag
Ebben a sorrendben dolgozz, mert egy alap alatt tett kijelölés túlélhet egy módváltást, és csendben megfordíthatja a hatását:
- Azonosítsd a valódi csomagot, és hogy a személyes vagy a munkaprofil példánya-e.
- Nyisd meg az appválasztási beállításokat pontosan ahhoz a VPN-profilhoz, amellyel csatlakozol.
- Állítsd be azt az alapot, amelynek jelentése „csak a kiválasztott appok használják a VPN-t”.
- Foglald bele a kívánt csomagot, és hagyd a nem kapcsolódó appokat a halmazon kívül.
- Csatlakozz újra, hogy a kliens az új listával újraépítse a felületet.
A profil ugyanolyan fontos, mint a csomag. Egy kliens több profilt is tarthat, és az alkalmazásonkénti kijelölés ahhoz tartozik, amellyel ténylegesen csatlakozol; egy soha nem használt profil szerkesztése semmit sem változtat. Kezelt eszközön a munkaprofil külön felhasználó saját apppéldánnyal és saját házirenddel, így az, hogy a személyes példány az alagúton belül van, semmit sem mond a munkapéldányról.
Csatlakozz újra, mielőtt megítéled az eredményt
A VpnService az alagút interfészének létrehozásakor olvassa be az applistákat. Egy futó alagút nem feltétlenül vesz át egy listamódosítást, és a kliensek abban különböznek, hogy automatikusan újraépítenek-e, vagy megvárják, hogy bontsd a kapcsolatot és csatlakozz újra.
Ha úgy tűnik, a változtatás semmit sem tesz, teszteld az újracsatlakozást, mielőtt a listában kételkednél. Utána indíts friss kérést, ne tölts újra egy már nyitott oldalt: egy meglévő kapcsolatot tartó app rossz tesztalany, és a látott eredmény a régi interfészhez tartozhat.
A munkafolyamatod elhagyhatja az appot
Egy app átadhat egy böngészőnek bejelentkezéshez, egy dokumentummegjelenítőnek vagy egy megosztási célpontnak. Csak-befoglalás alap esetén ezek a segítők az alagúton kívül vannak, így egy munkafolyamat félúton elbukhat, pedig az első app megfelelően volt beállítva. Csak akkor foglald bele a segítőt, ha a munkafolyamatnak tényleg szüksége van rá, és szándékosan add hozzá, ne egy bemutató közben fedezd fel.
Az alkalmazásonkénti kijelölés a kapcsolat saját útvonalházirendjét sem helyettesíti. A profilnak továbbra is vinnie kell az app által használt cél-előtagokat és címcsaládokat, az átjárónak pedig továbbra is engedélyeznie kell a szolgáltatást. Egy helyesen listázott app elérhetetlen céllal ugyanúgy néz ki, mint egy hibásan beállított lista.
Teszteld mindkét oldalt, aztán írd le a házirendet
Tesztelj egy friss kérést a befoglalt appban és egyet egy olyan appban, amelynek kívül kell maradnia. Hasonlítsd össze a kilépési címet és egy privát erőforrás elérését, majd ismételd meg újracsatlakozás után. Ha a szervezeted az Android VPN nélküli kapcsolatok blokkolására vonatkozó házirendjét használja, egy kizárt app teljesen blokkolható lehet ahelyett, hogy közvetlenül menne; ez a házirend működése, nem pedig egy hiba, amelyet meg kell kerülni.
Rögzítsd a módot, a csomagneveket a profiljukkal, hogy mely appoknak kell megkerülniük, milyen címcsaládokat visz az alagút, és mi történjen, ha az alagút leáll. Ha a kliens nem tudja tisztán kifejezni a munkafolyamatot, válassz szélesebb jóváhagyott appkészletet vagy kezelt profilházirendet, ahelyett hogy gyökérszinten szerkesztenéd a tűzfal szabályait, ami nem része az Android által támogatott alkalmazásonkénti mechanizmusnak.