Sudah mencentang satu aplikasi di OpenVPN? Basis daftar yang menentukan
Paket yang sama yang dicentang berarti menyertakan atau mengecualikan tergantung basis daftar. Pilih hanya-sertakan dulu, sambungkan ulang, lalu uji seluruh alur kerja.
Kotak centang tampak seperti seluruh keputusan, dan di Android bukan. Paket yang sama yang dicentang berarti “hanya aplikasi ini yang memakai VPN” pada basis hanya-sertakan dan “aplikasi ini melewati VPN” pada basis kecualikan-yang-dipilih. Orang memasang klien, menemukan daftar bernama Aplikasi yang diizinkan, mencentang satu paket yang mereka pedulikan, lalu pergi dengan kebijakan yang melakukan sebaliknya. Mengganti klien jarang membantu; memilih basis sebelum menyentuh daftar membantu.
Basis adalah kebijakan, bukan kotak centang
Di bawah VpnService Android, klien mengonfigurasi perutean per aplikasi dengan addAllowedApplication atau addDisallowedApplication. Yang pertama membatasi terowongan pada paket yang terdaftar, yang kedua menerowongkan semua kecuali paket itu. Klien membungkus keduanya dalam antarmuka yang bisa tampak hampir sama, dan sebagian menamai bagian menurut daftar alih-alih mode, sehingga judul bagian saja tidak bisa memberi tahu basis mana yang aktif.
Baca kontrol mode di atas daftar, bukan judulnya. Di klien OpenVPN for Android asli, daftar aplikasi yang diizinkan punya basis hanya-sertakan dan basis kecualikan-yang-dipilih, dan build bermerek bisa merumuskan keduanya secara berbeda sambil mempertahankan dua perilaku yang sama. Tangkapan layar dari klien lain, atau dari versi lama klien yang sama, bukan bukti tentang mode yang sedang Anda pakai.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Tabel itu adalah seluruh mitosnya. Mencentang aplikasi adalah pernyataan tentang satu paket; basis yang menentukan apakah pernyataan itu “sertakan” atau “kecualikan”.
Pilih mode, lalu paket
Bekerjalah dalam urutan ini, karena pilihan yang dibuat di bawah satu basis bisa bertahan melewati perubahan mode dan diam-diam membalik efeknya:
- Identifikasi paket sebenarnya dan apakah itu salinan profil pribadi atau profil kerja.
- Buka pengaturan pemilihan aplikasi untuk profil VPN yang tepat yang Anda sambungkan.
- Setel basis yang maknanya “hanya aplikasi terpilih yang memakai VPN”.
- Sertakan paket yang dimaksud dan biarkan aplikasi tak terkait di luar himpunan.
- Sambungkan ulang agar klien membangun ulang antarmuka dengan daftar baru.
Profil sama pentingnya dengan paket. Klien bisa menyimpan beberapa profil, dan pemilihan per aplikasi milik profil yang benar-benar Anda sambungkan; mengedit profil yang tidak pernah Anda pakai tidak mengubah apa pun. Pada perangkat terkelola, profil kerja adalah pengguna terpisah dengan salinan aplikasinya sendiri dan kebijakannya sendiri, jadi fakta bahwa instans pribadi ada di dalam terowongan tidak mengatakan apa pun tentang instans kerja.
Sambungkan ulang sebelum menilai hasilnya
VpnService membaca daftar aplikasi saat antarmuka terowongan dibentuk. Terowongan yang berjalan belum tentu menyerap suntingan daftar, dan klien berbeda dalam hal apakah mereka membangun ulang secara otomatis atau menunggu Anda memutus dan menyambung lagi.
Jika perubahan tampak tidak melakukan apa-apa, uji penyambungan ulang sebelum meragukan daftar. Lalu buat permintaan baru alih-alih memuat ulang halaman yang sudah terbuka: aplikasi yang mempertahankan koneksi mapan adalah subjek uji yang buruk, dan hasil yang Anda lihat mungkin milik antarmuka lama.
Alur kerja Anda bisa keluar dari aplikasi
Aplikasi bisa menyerahkan ke peramban untuk masuk, ke penampil dokumen, atau ke tujuan berbagi. Pada basis hanya-sertakan, pembantu itu berada di luar terowongan, sehingga alur kerja bisa gagal di tengah meski aplikasi pertama sudah dikonfigurasi dengan benar. Sertakan pembantu hanya jika alur kerja benar-benar membutuhkannya, dan tambahkan dengan sengaja alih-alih menemukannya saat demo.
Pemilihan per aplikasi juga tidak menggantikan kebijakan rute koneksi itu sendiri. Profil tetap harus membawa prefiks tujuan dan famili alamat yang dipakai aplikasi, dan gateway tetap harus mengizinkan layanan. Aplikasi yang terdaftar dengan benar dengan tujuan tak terjangkau tampak sama seperti daftar yang salah konfigurasi.
Uji kedua sisi, lalu tuliskan kebijakannya
Uji satu permintaan baru di aplikasi yang disertakan dan satu di aplikasi yang seharusnya tetap di luar. Bandingkan alamat keluar dan akses ke sumber daya privat, lalu ulangi setelah penyambungan ulang. Jika organisasi Anda memakai kebijakan Android untuk memblokir koneksi tanpa VPN, aplikasi yang dikecualikan bisa diblokir sepenuhnya alih-alih langsung keluar; itu kebijakan yang bekerja, bukan kesalahan yang harus diakali.
Catat mode, nama paket beserta profilnya, aplikasi mana yang harus melewati, famili alamat mana yang dibawa terowongan, dan apa yang harus terjadi saat terowongan mati. Jika klien tidak bisa menyatakan alur kerja dengan bersih, pilih kumpulan aplikasi disetujui yang lebih luas atau kebijakan profil terkelola alih-alih mengedit aturan firewall di tingkat root, yang bukan bagian dari mekanisme per aplikasi yang didukung Android.