Memblokir konfigurasi VPN di Android: daftar periksa peluncuran

Seseorang meminta Anda menghentikan orang mengonfigurasi VPN mereka sendiri di perangkat Android yang dikelola. Jawaban yang menggoda adalah aturan firewall yang memblokir beberapa port yang familiar. Jawaban itu mengabaikan cara platform bekerja dan cara aplikasi benar-benar terhubung.

Kontrol yang didukung adalah pembatasan pengelolaan pada perangkat atau profil yang Anda miliki, dan kontrol itu memiliki cakupan yang jelas, perilaku yang bergantung pada versi, dan pengecualian yang harus Anda konfigurasi dengan sengaja.

Jalankan lima pemeriksaan di bawah ini secara berurutan. Masing-masing dapat membatalkan rencana, jadi berhentilah pada yang pertama yang tidak bertahan.

Pemeriksaan 1: tentukan apa artinya tidak ada VPN

Dua persyaratan tersembunyi di balik kalimat yang sama. Yang satu adalah tidak ada pengguna yang boleh membuat VPN sendiri. Yang lain adalah hanya VPN yang disetujui organisasi yang boleh berjalan. Keduanya sah, dan keduanya menghasilkan konfigurasi berbeda, kisah dukungan berbeda, dan mode kegagalan berbeda.

Tuliskan mana yang Anda beli sebelum menyentuh konsol pengelolaan mana pun. Jika niatnya adalah satu terowongan yang disetujui untuk semua orang, Anda menerapkan jalur yang disetujui dengan larangan di sekitarnya; jika niatnya tidak ada terowongan sama sekali, Anda juga harus menerima bahwa jalur akses jarak jauh dan pemecahan masalah berubah.

Salah di sini dan peluncuran akan tampak berhasil sambil diam-diam memutus VPN yang menjadi andalan operasi, biasanya ditemukan oleh orang yang sedang jaga pada jam yang tidak nyaman.

Pemeriksaan 2: pastikan kewenangan yang benar-benar Anda miliki

Android mengekspos pembatasan melalui UserManager.DISALLOW_CONFIG_VPN, yang didokumentasikan di referensi UserManager. Pembatasan ini mencegah konfigurasi dan penyalaan VPN, dan ini bukan pengaturan yang dapat diterapkan aplikasi biasa pada dirinya sendiri atau pada aplikasi lain.

Pembatasan ini diterapkan oleh administrator yang berwenang: pemilik perangkat untuk seluruh perangkat, atau pemilik profil untuk profil terkelola, dengan kewenangan yang sama tersedia bagi pemilik profil di dalam profil terkelola. Jika EMM Anda tidak dapat bertindak sebagai salah satunya, Anda tidak memiliki kontrol ini, dan berapa pun konfigurasi kebijakan di konsol tidak akan membuatnya.

Cakupan sama pentingnya dengan kewenangan. Pembatasan yang diterapkan pada profil kerja mengatur profil itu, bukan sisi pribadi telepon yang sama. Menggambarkan hal itu sebagai kendali atas semua yang dilakukan pengguna tidak akurat, dan itu akan diuji oleh orang pertama yang memasang VPN di profil pribadi dan mendapati bahwa VPN itu berfungsi.

Pemeriksaan 3: kenali perilaku per versi

Pembatasan ini telah berubah antarversi, dan perbedaannya menentukan apa yang sebenarnya akan dilakukan peluncuran Anda pada perangkat di lapangan.

Baris API 31 adalah yang mengejutkan orang di tengah peluncuran: pada perangkat itu penegakan bukan sekadar kosmetik, ia memutus terowongan yang sudah berjalan. Rencanakan itu sebagai peristiwa yang terlihat, bukan perubahan pengaturan yang senyap.

Baris API 24 adalah yang menyelamatkan Anda: VPN selalu-aktif yang dikonfigurasi pemilik bertahan dari pembatasan, dan itulah cara jalur yang disetujui tetap tersedia.

Pemeriksaan 4: jaga jalur yang disetujui tetap hidup

Konfigurasi dan uji VPN selalu-aktif organisasi sebelum Anda menegakkan pembatasan, bukan sesudahnya. Jika menegakkan lebih dulu, perangkat kehilangan terowongan sekaligus alat yang akan Anda gunakan untuk mendiagnosisnya.

Verifikasi tiga hal secara eksplisit: bahwa VPN selalu-aktif dibuat oleh pemilik, bukan pengguna; bahwa ia menyala di perangkat itu setelah penegakan; dan bahwa ia bertahan dari reboot. Terowongan yang hanya naik secara manual bukan jalur yang disetujui; itu antrean tiket dukungan.

Pertahankan jalur pemulihan yang tidak bergantung pada terowongan yang menyala. Konsol pengelolaan, jalur admin lokal, atau kanal di luar pita semuanya berfungsi. Yang tidak berfungsi adalah menganggap Anda dapat memperbaiki kebijakan yang rusak melalui koneksi yang baru saja dimatikan oleh kebijakan itu.

Pemeriksaan 5: verifikasi, lalu jelaskan batasnya dengan jujur

Uji dengan perangkat nyata dan akun nyata. Pastikan pengguna tidak dapat menambahkan atau menyalakan VPN, pastikan terowongan yang disetujui terhubung dan membawa lalu lintas, dan pastikan profil pribadi tetap berperilaku seperti yang didokumentasikan. Ketiga hasil itu adalah kriteria penerimaan.

Lalu berhati-hatilah dengan klaim Anda. Pembatasan ini mengatur kemampuan VPN Android. Ia tidak mengubah setiap koneksi yang diizinkan menjadi protokol yang diperiksa, dan tidak mencegah aplikasi merutekan permintaannya sendiri melalui proxy eksplisit. Memblokir UDP 500, UDP 4500, dan satu OpenVPN port bukan kontrol yang sama, karena lalu lintas dapat melewati banyak transport, termasuk HTTPS yang tampak biasa.

Jika persyaratannya lebih luas daripada kemampuan VPN, gabungkan ini dengan kebijakan distribusi aplikasi, kontrol akun, dan pembatasan jaringan yang sesuai dengan lingkungan. Dan catat apa yang tetap di luar cakupan, agar tidak ada yang mengulang pembatasan sebagian sebagai pembatasan lengkap pada audit berikutnya.