IKEv2 VPN-snið á Android eru fyrir hvern notanda, ekki hvert tæki

Hugtakið innbyggt VPN nær á Android yfir tvennt ótengt: útfærslu samskiptareglna sem kerfið keyrir fyrir þína hönd, og það form stillinga sem framleiðandinn ákvað að sýna. Þetta er ekki sami hluturinn, og hvort tveggja getur ekki tryggt að göngin tilheyri þeim notanda sem forritin hans þurfa á þeim að halda. Útbúnaðurinn fer fram í tilteknum notanda með tilteknum kallandi pakka, og allt sem á eftir kemur erfir það samhengi. Lestu eignarhaldskeðjuna fyrir stillingaskjáinn.

Hvað kerfið byggir fyrir þig

Frá Android 11 birtir kerfið VPN-útbúnað gegnum VpnManager. Samþykkt forrit lýsir IKEv2-sniði, og kerfið annast sjálft IPsec- og IKE-skiptin, svo forritið snertir aldrei pakka. Það er eðlislægur munur á eigin VPN-forriti, sem útfærir VpnService og byggir göngin í eigin ferli.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

Kallið hér að ofan er skissa af forminu, ekki blokk til að afrita: byggjandinn hefur nokkrar afbrigði auðkenningar, þau eru mismunandi eftir API-stigi, og sniðið ber einnig traustsgögn netþjónsvottorðsins. Fyrir eignarhaldsspurninguna er það sem skiptir máli þrengra en setningafræðin.

Tveir eiginleikar fylgja þessari hönnun. Sniðið eru gögn, svo stjórnandi getur útbúið það í stað þess að slá það inn. Og göngin eru net kerfisins, svo forrit sjá þau sem net með VPN-flutningi en ekki sem sokk annars forrits.

Eigandinn er notandinn, síðan pakkinn

Fjölnotendakerfi Android er raunveruleg aðgreining, ekki merki. Vinnusnið er sérstakur notandi með eigin uppsettum pökkum, eigin forritsgögnum, eigin lyklageymslu og eigin traustsakkerum. Sama varan uppsett á báðum stöðum eru tvö eintök með mismunandi notandauðkennum, jafnvel þótt táknin og vörumerkin séu eins.

Útbúnaðurinn er skráður á móti kallandi pakkanum í þeim notanda. Þannig býr útbúnaðarforrit í einkasniðinu til einkagöng, og vinnuforritin í vinnusniðinu sjá ekkert af þeim. Hið gagnstæða gildir líka, og þess vegna eru göng vinnusniðs ósýnileg einkasniðum án skýrrar stefnu sem segir annað.

Stjórnandi tækjastefnu getur útbúið fyrir hönd stýrðs sniðs, sem útskýrir færsluna sem enginn á skrifstofunni man eftir að hafa búið til. Ef þú endurskoðar síma er hann líklegur eigandi gránaðrar færslu, og það er ekki þitt að eyða henni sem tilraun.

Þrjú hlið áður en pakki hreyfist

Fyrsta hliðið er heimild: stjórnendur verða að leyfa VPN yfirleitt, og sumar uppsetningar takmarka tegundina auk tilverunnar. Annað er auðkenni: biðlaravottorðið eða skilríkin verða að vera aðgengileg í notandanum sem á sniðið, því vottorð sem flutt er inn í einkalyklageymsluna er ekki sýnilegt vinnusniðinu.

Þriðja er samþykki og stefna. Notandi samþykkir yfirleitt tenginguna við fyrstu notkun, og stjórnandi getur að auki fest hana sem alltaf virka, valfrjálst með læsingu svo umferð geti ekki farið út fyrir göngin. Þessar stillingar ráða því hvað gerist þegar göngin falla, og það er hlutinn sem notendur taka eftir.

Umfangið er þar sem þrjú mætast. Sniðið ræður hliðinu og auðkenninu, en stefnulagið ræður því hvaða forrit mega nota göngin og hvort umferð er þvinguð í gegnum þau. Þess vegna geta tveir símar með eins hliðarföngum hegðað sér mjög mismunandi.

Hvers vegna einkatenging nær ekki yfir vinnuforrit

Umferð frá vinnuforriti verður til í vinnunotandanum, og sú netstefna sem gildir er sú í þeim notanda. Göng sem stofnuð eru í einkasniðinu bera hana ekki, hversu heilbrigð vísirinn virðist sem er. Þessi eina staðreynd útskýrir flestar tilkynningar þar sem notandi sver að VPN sé tengt og eitt tiltekið forrit nái samt ekki innri þjónustu.

Nafnaupplausn fylgir sömu mörkum. Einkarekin DNS-viðskeyti og traustsakkeri eru fyrir hvern notanda, svo innra hýsingarheiti sem leysist í einkasniðinu getur mistekist í vinnusniðinu jafnvel með að því er virðist jafngildum göngum, því stefna uppleysandans og CA-geymslan eru ólíkir hlutir.

Staðfestu á raunverulegri skráningu, ekki rannsóknarsíma

Í tækinu skaltu fyrst greina eiganda færslunnar: hvaða notandi, hvaða pakki, og hvort sniðið kom frá útbúnaði kerfisins eða forriti með eigin VPN-þjónustu. Staðfestu síðan að auðkennið sem sniðið væntir sé raunverulega til staðar í lyklageymslu þess notanda.

Prófaðu lífsferilinn, ekki bara tenginguna. Skráðu þig inn, opnaðu skilríkjageymsluna, láttu vinnusniðið hvíla yfir kvöldið, komdu því svo aftur og athugaðu hvort göngin koma aftur án handvirkrar snertingar. Vinnusnið sem slokknar eftir vinnutíma tekur göngin með sér, og það er vænt hegðun en ekki bilun, að því tilskildu að vænta óaðgengilega staðan sé skrifuð niður.

Að lokum, prófaðu vinnuforritið sjálft á móti þekktum innri endapunkti og berðu saman við niðurstöðu einkasniðsins. Þau mega vera ólík; það sem má ekki vera ólíkt er eignarhaldslíkanið. Ef göngin tilheyra röngum notanda lagar engin endurútgáfa vottorða það.

Þvingaðu ekki málið með því að ræsa faldar stillingaraðgerðir til að afhjúpa valmynd, og afritaðu ekki einkalykla milli sniða til að láta tengingu virðast. VpnManager-tilvísunin skrásetur hvað kallandi má útbúa; ef samþykkta leiðin nær ekki yfir þitt tilvik er það ákvörðun stjórnandans en ekki stillingarvandamál.