Aplikasi kerja meminta VPN? Periksa dulu tiga lapisan ini

Pesannya mengatakan aplikasi membutuhkan VPN, tetapi biasanya aplikasi melaporkan gejala, bukan menyebut hal yang memblokirnya. Tiga pemilik berbeda dapat menghasilkan kalimat itu: layanan privat yang diajak bicara aplikasi, kode kebijakan aplikasi itu sendiri, dan lapisan manajemen perangkat yang mengendalikan profil kerja. Pihak mana yang bertanya mengubah apa yang harus Anda lakukan, dan hanya satu dari ketiganya yang diperbaiki dengan menyambungkan terowongan. Menemukan pemiliknya lebih dulu menghemat Anda dari memasang ulang klien yang tidak pernah menjadi masalah.

Apa yang bisa diperiksa aplikasi sendiri

Sebelum menganggap ada aturan platform tersembunyi, ingat bahwa aplikasi biasa dapat melihat apakah transport VPN aktif. ConnectivityManager melaporkan jaringan yang membawa TRANSPORT_VPN, dan tidak adanya NET_CAPABILITY_NOT_VPN memberi tahu setiap pemanggil bahwa jalur saat ini melewati terowongan. Pengembang yang ingin menolak berjalan di luar terowongan dapat melakukannya dengan API publik dan sama sekali tanpa perkakas perusahaan.

Yang tidak dapat dilihat aplikasi dengan cara itu adalah milik siapa VPN tersebut. Penanda transport mengatakan ada terowongan, bukan bahwa terowongan berakhir di tempat organisasi Anda mengharapkan.

Jalur layanan: nama dan alamat privat

Versi jujur yang paling umum dari pesan itu sama sekali bukan pemeriksaan kebijakan. Aplikasi menyelesaikan nama host internal seperti wiki atau titik akhir API yang hanya ada di dalam tampilan DNS perusahaan, dan pencarian gagal sebelum kode kebijakan mana pun berjalan. Terowongan bisa aktif dan meneruskan lalu lintas internet umum sementara DNS terpisah mengirim nama itu ke resolver yang tidak pernah mendengarnya.

Gejalanya sempit. Satu host gagal, panggilan jaringan aplikasi lainnya berfungsi, dan kegagalan muncul saat pencarian nama, bukan saat peluncuran. Sertifikat internal menambah mode kegagalan kedua, karena aplikasi yang dipatok ke CA organisasi menolak sertifikat publik meskipun paket mengalir.

Menyambungkan VPN komersial sembarangan tidak memperbaiki satu pun dari itu. Itu mengubah alamat keluar Anda dan membiarkan nama internal tetap tak terselesaikan.

Lapisan kebijakan aplikasi

Aplikasi juga dapat membawa gerbangnya sendiri. Konfigurasi terkelola memungkinkan organisasi mendorong pasangan kunci dan nilai yang dideklarasikan aplikasi, dan aplikasi membacanya melalui RestrictionManager. Kunci seperti nama profil wajib atau daftar jaringan yang diizinkan sepenuhnya rancangan pengembang, ditegakkan dalam kode aplikasi dengan teks galat apa pun yang dipilih kode itu.

Lapisan inilah tempat kata-katanya biasanya membocorkan diri. Jika pesan muncul segera saat peluncuran, sebelum panggilan jaringan apa pun, dan menyebut kebijakan, profil, atau administrator, Anda mungkin melihat logika aplikasi, bukan paket yang hilang.

Membaca pembatasan yang sama di perangkat pribadi adalah jalan buntu. Perangkat tanpa pengelolaan tidak punya pembatasan untuk dibaca, jadi aplikasi kembali ke default apa pun yang dipakai saat dibuat.

Lapisan platform: selalu aktif dan penguncian

Manajemen perangkat menambahkan pemaksaan yang tidak dapat diakali aplikasi. Pengendali kebijakan perangkat dapat memanggil setAlwaysOnVpnPackage untuk profil kerja, opsional dengan penguncian diaktifkan, dan begitu penguncian menyala platform menolak lalu lintas yang tidak melewati paket itu. Blokir terlihat sebagai kondisi sistem, bukan galat aplikasi: aplikasi lain di profil juga berhenti menjangkau jaringan.

Cakupannya penting. VPN selalu aktif dikonfigurasi per pengguna, jadi paket profil kerja tidak mencakup profil pribadi Anda, dan VPN pribadi tidak memenuhi paket profil kerja. Dua profil, dua kebijakan jaringan independen, satu perangkat.

Ini juga satu-satunya lapisan tempat VPN yang tidak terkait tidak dapat membantu, karena kebijakan menyebut satu paket tertentu.

Membedakan ketiganya

Telusuri tanda-tandanya secara berurutan dan berhenti pada yang pertama cocok. Satu nama host gagal sementara sisanya terselesaikan menunjuk ke jalur layanan. Penolakan segera saat peluncuran dengan kata-kata kebijakan menunjuk ke logika aplikasi. Seluruh profil kehilangan konektivitas setiap kali klien yang disetujui terputus menunjuk ke penguncian. Dan aplikasi yang menerima terowongan apa pun sedang memeriksa penanda transport, bukan identitas organisasi Anda.

Bukti yang berguna: teks persisnya dan waktunya, apakah aplikasi lain di profil yang sama masih punya konektivitas, apakah nama privat terselesaikan di dalam terowongan yang disetujui, dan apakah perangkat menampilkan lencana kerja untuk aplikasi yang Anda buka.

Apa yang perlu ditulis dalam permintaan dukungan

Permintaan yang menyebut lapisannya akan dirutekan dengan benar pada percobaan pertama. Sesuatu seperti: aplikasi profil kerja terbuka, daftar sumber daya gagal setelah VPN yang disetujui tersambung, penyelesaian nama privat gagal dalam diagnostik yang diizinkan, dan aplikasi lain di profil tetap berfungsi. Itu terbaca sebagai masalah rute atau resolver dan melewati lingkaran pengaturan ulang akun.

Jika VPN yang disetujui sama sekali tidak ada, jalur yang didukung adalah pendaftaran atau penyediaan ulang melalui administrator Anda. Menghapus profil manajemen, memasang klien yang tidak terkait, atau memalsukan keadaan jaringan mengubah tatanan keamanan alih-alih memulihkannya.

Mulailah dari lapisannya, bukan dari kliennya. Tiga tanda di atas biasanya menyelesaikannya dalam satu sesi.