Hvar regla Android eldveggjar verður að búa þegar VPN er kveikt
Aðeins ein VpnService getur verið virk, svo eldveggjarforrit og VPN-forrit staflast ekki. Farðu í gegnum eina vinnubeiðni og settu hverja reglu þar sem umferð hennar fer í raun fram hjá.
Þú hefur eina setningu af stefnu: þetta forrit má ná vinnuþjónustunni og engu öðru. Næsta spurning lítur út eins og vöruval, en er spurning um stað, því sérhver möguleg framfylgdarstaða sér annan hluta umferðar símtólsins. Hliðið sér aðeins það sem fer inn í göngin. Síurnar á símtólshliðinni sjá aðeins það sem þeim er leyft að fylgjast með. Að keyra eina beiðni í gegnum bæði gerir svarið augljóst.
Byrjaðu á setningunni, ekki vörunni
Útfærðu kröfuna áður en þú velur nokkuð. Það þýðir pakkann og sniðið sem hann keyrir í, því forrit í vinnusniði er annar notandi en sama forrit í persónulegu sniði. Það þýðir áfangastaðinn: hýsil, port og samskiptareglu, ekki þjónustuheiti. Það þýðir DNS-slóðina sem leysir það heiti, og það þýðir hvað eigi að gerast þegar göngin eru ekki tiltæk.
Skrifuð hefur stefnan fyrir dæmið fjórar línur: vinnuforritið má ná vinnuþjónustunni; það má ekki ná neinu öðru; önnur forrit eru óbreytt; án ganga er vinnuforritinu hafnað í stað þess að falla á beina slóð. Hver lína hefur eiganda, og það eru ekki allir sami eigandinn.
Skref 1: hvað símtólið sjálft getur framfylgt
Android eldveggur án root er VpnService sem grípur umferð á staðnum, jafnvel þegar engin fjargöng eru fyrir aftan. Android leyfir eina virka VPN-þjónustu fyrir hvert notendasnið, svo annað eldveggjarforrit keðjast ekki á bak við hið fyrra. Það kemur í staðinn fyrir það, og viðmótið sem fyrra forritið síaði hverfur.
Þess vegna gefur uppsetning eldveggjar við hlið VPN-biðlara sjaldan þá samsetningu sem fólk býst við. Ef eldveggurinn ræsist og VPN-ið aftengist var engu steypt saman; þau tvö skiptu um stað. Skipti á viðmóti er ekki samvinna, og einkennið er göng sem falla stöðugt í hvert sinn sem hitt forritið er opnað.
Studdar uppsetningar eru til: síun innbyggð í VPN-biðlarann sem þú keyrir þegar, stýrðar vettvangsstýringar í gegnum stefnustjóra tækis eða vinnusnið, eða arkitektúr sem framleiðandinn skjalfestir. Allt annað er tilraun sem þarf að sannprófa aftur eftir hverja forritauppfærslu.
Skref 2: hvað hliðið getur framfylgt
Þegar umferðin hefur verið afkóðuð í fjarenda getur hliðið takmarkað framsend pakka við samþykkt heimilisföng, þjónustur eða sannvottaðar VPN-auðkenni. Það er raunveruleg framfylgd fyrir allt sem fer þaðan út, og það er rétti staðurinn til að takmarka aðgang að einkaneitum.
Það sem það fær ekki er auðkenni forritsins í símtólinu sem er fest við hverja venjulega IP-pakka. Nokkur forrit sem deila einu gagnastöðvarfangi eru einn aðili fyrir hliðið, nema hönnunin gefi þeim aðskilin heimilisföng eða aðskilin sannvottuð auðkenni. Þess vegna er regla fyrir hvern notanda á hliðinu ekki regla fyrir hvert forrit í símtólinu, hvað sem stjórnborðið kallar hana.
Skref 3: skráðu það sem kemur aldrei
Forrit sem er útilokað frá VPN-inu og hefur samband við nálægt tæki nær aldrei hliðinu, svo útgangseldveggur getur ekki hafnað pakka sem hann fær aldrei. Sama gildir um óviljandi beina slóð meðan á truflun stendur og um innkomna vá á staðbundnu aðgangsneti. Þetta eru staðbundin mörk samkvæmt skilgreiningu.
Hið gagnstæða gildir líka: staðbundin regla sem leyfir tengingu veitir ekki aðgang í gegnum ACL einkanetsins á hliðinu. Ein beiðni getur verið undir báðum mörkum, og að uppfylla annað segir ekkert um hitt.
Skref 4: úthlutaðu hverri reglu slóð
Settu ákvörðunina í töflu áður en þú stillir nokkuð, því tómu reitirnir eru staðurinn þar sem hönnun brestur.
| Slóð | Hver getur framfylgt henni | Blindur blettur |
|---|---|---|
| Vinnuforrit að vinnuþjónustunni, göng uppi | ACL hliðsins á heimilisfang og þjónustu, auk staðbundinnar lokunar á öðrum slóðum | Hliðið sér ekki hvaða forrit sendi pakkann |
| Vinnuforrit að öðrum áfangastöðum, göng uppi | Staðbundin sía sem þekkir forrit, eða hliðið ef þessi áfangastaðir eru heimilisfangssett þar | Staðbundna sían verður að vera virka VpnService |
| Vinnuforrit án ganga | Staðbundin synjun, svo forritið geti ekki tekið beina slóð | Krefst þess að sían lifi hvarf ganganna |
| Nálægt LAN-tæki | Aðeins staðbundin stefna | Hliðið sér það aldrei |
Vinnandi lögun er tvö mörk með tvö verk. Staðbundið mörk sem þekkir forrit stýrir hegðun símtólsins, þar á meðal beinu falli, og mörk hliðsins stýra fjartilföngum. Hliðið getur leyft vinnuþjónustuna og hafnað hverju öðru einkaneti, á meðan stefnan á símtólshliðinni ákveður sjálf beina slóð sem forritið gæti annars tekið.
Skref 5: haltu flutningnum lifandi og sannprófaðu svo
Hvaða staðbundnu stefnu sem þú velur verður hún að leyfa flutninginn sem setur VPN-ið upp og heldur því. Að loka þeim flutningi skilur símtólið eftir án ganga og án stefnu, sem framfylgir engu samkvæmt og er erfitt að greina, því forritið hefur einfaldlega ekkert net.
Sannprófaðu svo hverja línu upprunalegu setningarinnar í stað heildarhrifs: vinnuforritið nær vinnuþjónustunni, sama forriti er hafnað á öðrum áfangastað, forrit sem er ekki vinna hegðar sér eins og áður, og með stöðvuð göng fellur vinnuforritið ekki á beina tengingu. Athugaðu DNS-slóðina sérstaklega, því einkatengdur DNS eða dulkóðuð leysir getur farið fram hjá sía sem skoðar aðeins heimilisföng.
Ef eitt af þessum skrefum verður ekki uppfyllt í símtólinu er krafan spurning um arkitektúr en ekki stillingu eldveggjar. Að skipta stefnunni milli tækis sem þú stýrir og hliðs sem þú stýrir er venjulega heiðarlegasta svarið, og Android-skjöl um VPN-tengingar er staðurinn til að staðfesta hvað vettvangurinn leyfir og leyfir ekki einni þjónustu.