アプリごとの VPN が Android アプリの仕事用コピーに届かない理由

仕事用プロファイルのある端末では同じアプリが二度表示されますが、その二つのコピーは同じ主体ではありません。一つのコンテキスト内で構成されたアプリごとの VPN はそのコンテキストのインスタンスを管理するため、パッケージ名を指定した規則でももう一方のコピーには届かないことがあります。これは回避すべき不具合ではなく、プロファイルの境界が設計どおりに働いているだけです。答える価値のある問いは、VPN を所有しているのはどちらのコンテキストで、保護したいアプリを所有しているのはどちらか、という点です。

一つのアイコン、二つのインストール、二人のポリシー所有者

Android は仕事用プロファイルに独自の管理されたコンテキストを与え、アプリ、アカウント、ポリシーを分けて持つため、ランチャーには同じ名前と同じバッジを持つ項目が二つ並ぶことがあります。一つのコンテキスト内で起動した VPN サービスはそのコンテキストの利用者のために動き、これが問題全体の背後にある仕組みです。アイコンが示すのは、どのアプリをタップしたかであって、生じた通信がどのプロファイルに属するかではありません。だから所有者は画像ではなくプロファイルから読み取る必要があります。

組織は管理側に対して、常時接続や VPN なしでの遮断といった動作を強制することもでき、これはトンネルが切れているときの挙動を変えます。個人側には、自分で作らない限りそのような保証はありません。

許可リストが実際に意味するもの

Android のアプリごとの VPN 対応はリストに基づいており、VPN 利用者と仕事用プロファイルのガイド に記載されており、また 二種類のリストは既定値が正反対です。許可リストは、名前を挙げたパッケージだけがトンネルを使い、それ以外はすべて除外されるという意味で、拒否リストは、名前を挙げたパッケージ以外はすべて含まれるという意味になります。これを逆にすると、設定画面はもっともらしく見えたまま、意図したポリシーの反対を作ってしまいます。リストは VPN が動作するコンテキストの内部で評価されるため、両方のプロファイルに存在するパッケージ名は、そのコンテキストのコピーにしか一致しません。もう一方のプロファイルで一覧にないパッケージは、そもそもこの VPN の管轄外です。

全部-除く と これだけ の違いが、個人用アプリがトンネルの外へ漏れるのか閉じた形で失敗するのかを決めるため、重要な二つか三つのアプリについて挙動を書き留めてください。ここでは、プロファイルごとに一行でリストの種類とその他すべての既定値を添えた小さな表が、段落に勝ります。

どちら側がトンネルを動かし、誰のポリシーの下にあるのか

市販の VPN は管理されたプロファイルから組織の統制を取り除きませんし、仕事用プロファイルの VPN は個人用アプリのための一般的なトンネルではありません。組織が管理対象アプリに独自のクライアントを求める場合、個人用のクライアントは別の取り決めであり、独自のポリシーと独自の失敗の仕方を持ちます。結果を比べる前にどの仕組みがどの通信を運ぶべきかを決めないと、二つの系統を測ってその差を不具合と呼ぶことになります。自分のコンテキストの内部ではたいてい管理側が勝ち、それが意図された挙動です。

厄介なのは、管理されたポリシーが提供しない経路を必要とする管理対象アプリです。それは組織への例外申請であって、仕事用プロファイルを無効にする理由ではありません。

本当に意図したインスタンスをテストする

個人用ブラウザーでの公開アドレスの確認は仕事用アプリについて何も語らないため、関心のあるコピーを起動してその内側から要求を調べてください。内部の名前は管理された経路に依存することがあり、公開の閲覧は別のところにとどまるため、サインインしているアカウントと内部の名前解決は別々に確認してください。同じアイコンが二つ写った画面は証拠にならないので、テストした時点でどちらのコピーがどの結果を出したのかを記録し、ラベルにプロファイルを書いてください。その間にポリシーが再適用されることがあるため、再接続の後とプロファイルが作り直された後にも確認を繰り返してください。

どちらのコピーが応答したのか分からないなら、結論を出す前にラベルを直してください。後になって問いを決着させたかのように引用されるため、曖昧な結果は結果がないより悪いものです。

次のテストが生き残るように適用範囲を記録する

コンテキストごとに、アプリのインスタンス、ポリシーの所有者、期待される適用範囲という三つの事実をまとめて記録してください。これだけあれば、次に担当する人がどのアイコンを開いたのかを推測せずにテストを再現できます。人が最もよく読み違えるのはその部分なので、リストの種類と一覧にないパッケージの既定値も加えてください。

次に、両側から内部の名前を一つと外部のアドレスを一つずつ確認し、管理側が個人用 VPN を遮断したときに何が起きるべきかを書き留めてください。両側ともつながって見えるのに、どちらも保護されていない端末こそ、設計で備える価値のある失敗です。両方のプロファイルに本当にトンネルが必要なら、一つの賢い規則ではなく二つの取り決めを計画してください。