Di mana aturan firewall Android harus berada saat VPN menyala
Hanya satu VpnService yang dapat aktif, jadi aplikasi firewall dan aplikasi VPN tidak bertumpuk. Telusuri satu permintaan kerja dan letakkan setiap aturan di tempat lalu lintasnya benar-benar lewat.
Anda punya satu kalimat kebijakan: aplikasi ini boleh mencapai layanan kerja, dan tidak yang lain. Pertanyaan berikutnya tampak seperti pilihan produk, tetapi ini pertanyaan tempat, karena setiap titik penegakan yang mungkin melihat bagian berbeda dari lalu lintas ponsel. Gateway hanya melihat apa yang masuk ke terowongan. Penyaring di sisi ponsel hanya melihat apa yang diizinkan untuk diamatinya. Menjalankan satu permintaan melalui keduanya membuat jawabannya jelas.
Mulai dari kalimatnya, bukan produknya
Uraikan persyaratannya sebelum memilih apa pun. Itu berarti paket dan profil tempat ia berjalan, karena aplikasi di profil kerja adalah pengguna berbeda dari aplikasi yang sama di profil pribadi. Itu berarti tujuannya: host, port, dan protokol, bukan nama layanan. Itu berarti jalur DNS yang menyelesaikan nama itu, dan itu berarti apa yang harus terjadi ketika terowongan tidak tersedia.
Secara tertulis, kebijakan untuk contoh itu empat baris: aplikasi kerja boleh mencapai layanan kerja; aplikasi kerja tidak boleh mencapai apa pun yang lain; aplikasi lain tetap tidak berubah; tanpa terowongan, aplikasi kerja ditolak alih-alih jatuh ke jalur langsung. Setiap baris punya pemilik, dan tidak semuanya pemilik yang sama.
Langkah 1: apa yang bisa ditegakkan ponsel sendiri
Firewall Android tanpa root adalah VpnService yang menangkap lalu lintas secara lokal, bahkan saat tidak ada terowongan jarak jauh di belakangnya. Android mengizinkan satu layanan VPN aktif per profil pengguna, jadi aplikasi firewall kedua tidak berantai di belakang yang pertama. Ia menggantikannya, dan antarmuka yang disaring aplikasi pertama hilang.
Itulah sebabnya memasang firewall di samping klien VPN jarang menghasilkan kombinasi yang diharapkan orang. Jika firewall menyala dan VPN terputus, tidak ada yang tergabung; keduanya bertukar tempat. Penggantian antarmuka bukan kerja sama, dan gejalanya adalah terowongan yang terus putus setiap kali aplikasi lain dibuka.
Susunan yang didukung memang ada: penyaringan yang tertanam di klien VPN yang sudah Anda jalankan, kendali platform terkelola melalui pengendali kebijakan perangkat atau profil kerja, atau arsitektur yang didokumentasikan vendor. Segala hal lain adalah eksperimen yang harus diverifikasi ulang setelah setiap pembaruan aplikasi.
Langkah 2: apa yang bisa ditegakkan gateway
Setelah lalu lintas didekripsi di ujung jauh, gateway dapat membatasi paket yang diteruskan ke alamat, layanan, atau identitas VPN terautentikasi yang disetujui. Itu penegakan sungguhan untuk semua yang keluar melaluinya, dan itu tempat yang tepat untuk membatasi akses ke subnet privat.
Yang tidak diterimanya adalah identitas aplikasi ponsel yang melekat pada setiap paket IP biasa. Beberapa aplikasi yang berbagi satu alamat terowongan adalah satu subjek bagi gateway, kecuali rancangannya memberi mereka alamat terpisah atau identitas terautentikasi terpisah. Karena itu aturan per pengguna di gateway bukan aturan per aplikasi di ponsel, apa pun sebutan konsol manajemen.
Langkah 3: daftar apa yang tidak pernah tiba
Aplikasi yang dikecualikan dari VPN dan menghubungi perangkat terdekat tidak pernah mencapai gateway, jadi firewall keluar tidak bisa menolak paket yang tidak pernah diterimanya. Hal yang sama berlaku untuk jalur langsung yang tidak disengaja selama gangguan dan paparan masuk di jaringan akses lokal. Itu batas lokal menurut definisi.
Sebaliknya juga berlaku: aturan lokal yang mengizinkan koneksi tidak memberi akses melalui ACL jaringan privat gateway. Satu permintaan bisa tunduk pada kedua batas, dan memenuhi satu tidak mengatakan apa pun tentang yang lain.
Langkah 4: tetapkan setiap aturan ke jalur
Letakkan keputusannya di tabel sebelum mengonfigurasi apa pun, karena sel kosong adalah tempat rancangan gagal.
| Jalur | Siapa yang bisa menegakkannya | Titik buta |
|---|---|---|
| Aplikasi kerja ke layanan kerja, terowongan menyala | ACL gateway pada alamat dan layanan, ditambah blokir lokal pada jalur lain | Gateway tidak bisa melihat aplikasi mana yang mengirim paket |
| Aplikasi kerja ke tujuan lain, terowongan menyala | Penyaring lokal yang sadar aplikasi, atau gateway jika tujuan itu dialamatkan di sana | Penyaring lokal harus merupakan VpnService yang aktif |
| Aplikasi kerja tanpa terowongan | Penolakan lokal, agar aplikasi tidak mengambil jalur langsung | Menuntut penyaring bertahan saat terowongan hilang |
| Perangkat LAN terdekat | Hanya kebijakan lokal | Gateway tidak pernah melihatnya |
Bentuk yang bekerja adalah dua batas dengan dua tugas. Batas lokal yang sadar aplikasi mengatur perilaku ponsel, termasuk jatuh langsung, dan batas gateway mengatur sumber daya jarak jauh. Sisi gateway dapat mengizinkan layanan kerja dan menolak setiap subnet privat lain, sementara kebijakan sisi ponsel memutuskan sendiri tentang jalur langsung yang mungkin diambil aplikasi.
Langkah 5: jaga transport tetap hidup, lalu verifikasi
Kebijakan lokal apa pun yang Anda pilih harus mengizinkan transport yang membangun dan memelihara VPN. Memblokir transport itu membuat ponsel tanpa terowongan dan tanpa kebijakan, yang tidak menegakkan apa pun secara konsisten dan sulit didiagnosis, karena aplikasinya memang tidak punya jaringan.
Lalu verifikasi setiap baris kalimat asli alih-alih kesan keseluruhan: aplikasi kerja mencapai layanan kerja, aplikasi yang sama ditolak di tujuan lain, aplikasi yang bukan kerja berperilaku seperti sebelumnya, dan dengan terowongan dihentikan aplikasi kerja tidak jatuh ke koneksi langsung. Periksa jalur DNS secara terpisah, karena DNS privat atau resolver terenkripsi dapat melewati penyaring yang hanya memeriksa alamat.
Jika salah satu langkah itu tidak dapat dipenuhi di ponsel, persyaratannya adalah pertanyaan arsitektur, bukan pengaturan firewall. Membagi kebijakan antara perangkat yang Anda kendalikan dan gateway yang Anda kendalikan biasanya jawaban yang jujur, dan dokumentasi konektivitas VPN Android adalah tempat untuk memastikan apa yang akan dan tidak akan diizinkan platform bagi satu layanan.