ორი VPN ერთ ტელეფონზე: აირჩიეთ განლაგება და არა აპების რაოდენობა

ორი VPN-ის გამოყენება ერთი მოთხოვნა არ არის. ეს შეიძლება ნიშნავდეს ორ ორგანიზაციამდე ერთიმეორის მიყოლებით მისვლას, სამუშაო და პირადი აპების განცალკევებას ან ერთი გვირაბის მეორის შიგნით გაშვებას. Android ამ სამ შემთხვევას სრულიად განსხვავებულად ამუშავებს და ტელეფონზე დაყენებული VPN აპების რაოდენობა არქიტექტურა არ არის. კითხვა, რომელიც მათ ჰყოფს, მარტივია: უნდა არსებობდეს თუ არა ორი გზა იმავე მომენტში ერთი და იმავე აპისთვის?

სამი განლაგება, ერთი კითხვა

თუ პასუხი არაა, რადგან ორი ქსელი სხვადასხვა დროს გამოიყენება, თქვენ გჭირდებათ განზრახ გადართვა. თუ პასუხი არაა, რადგან თავად აპები განცალკევებულია, თქვენ გჭირდებათ პროფილების გამოყოფა, სადაც თითოეული აპი ზის იმ კონტექსტში, რომელიც ფლობს მის გვირაბს. თუ პასუხი კია და ერთმა გზამ მეორე ფიზიკურად უნდა ატაროს, თქვენ გჭირდებათ ჯაჭვი და ეს სამიდან ერთადერთია, სადაც თანმიმდევრობა დიზაინის ნაწილია.

დანარჩენი ყველაფერი ამ არჩევანიდან მოდის. გადართვას აქვს გარდამავალი ფანჯარა, გამოყოფას აქვს პოლიტიკის საზღვარი, ხოლო ჯაჭვს აქვს დამატებითი დანახარჯი და დამოკიდებულების ღირებულება. არასწორის არჩევა სუფთად არ ვარდება; ის ქმნის ტელეფონს, რომელიც დაკავშირებულად გამოიყურება და აპს, რომელიც ვერსად აღწევს.

გადართვა ერთი მომხმარებლის კონტექსტში

Android უშვებს ერთ აქტიურ VPN სერვისს ერთ მომხმარებელზე. მეორე VPN აპის გაშვება იმავე კონტექსტში ცვლის პირველს ან საერთოდ უარყოფილია; ის არასდროს აერთიანებს ორი მარშრუტის კრებულს და ნამდვილად არ აწყობს მათ დაშიფვრას ერთზე მეორეს. ერთი მომხმარებლის შიგნით ორი გვირაბი თანმიმდევრობაა და არა ჯამი.

ეს პრაქტიკულია, როცა წვდომა ნამდვილად თანმიმდევრულია. დაარქვით პროფილებს ისე, რომ აქტიური აშკარა იყოს, დაასრულეთ ყველაფერი მგრძნობიარე გადართვამდე და დაელოდეთ მოკლე ფანჯარას, როცა არც ერთი გზა არ არის სრულად დამყარებული. ბრაუზერის ჩანართის დახურვა არ არის იგივე, რაც სესიის დასრულება: ჩანართს შეუძლია შეინარჩუნოს თავისი ანგარიშის მდგომარეობა და უბრალოდ გაგზავნოს შემდეგი მოთხოვნა ახლად არჩეული ქსელით და სწორედ ეს არის ის გაჟონვა, რომელსაც ხალხი შემდეგ ამჩნევს.

რასაც გადართვა ვერ მოგცემთ, არის მანქანა, რომელიც ერთდროულად ორივე ქსელშია. თუ აპს თითოეული მხრიდან კერძო მისამართი სჭირდება, კლიენტის არც ერთი დისციპლინა ამას არ შექმნის.

გამოყოფა პროფილის მიხედვით

მართული სამუშაო პროფილი ცალკე მომხმარებელია თავისი აპებით, გასაღების საცავით და ქსელური პოლიტიკით. სამუშაო ფოსტის კლიენტს შეუძლია გამოიყენოს ორგანიზაციის გვირაბი, სანამ პირადი ბრაუზერი პირადს იყენებს და ორივე შეიძლება ერთდროულად იყოს დაკავშირებული, რადგან ისინი არ არიან ერთ კონტექსტში ადგილისთვის მებრძოლნი.

გამოყოფა ასევე საზღვარია. პირადი ბრაუზერი არ სესხულობს სამუშაო გვირაბს, არ ხედავს სამუშაო DNS სუფიქსებს და არ აღწევს სამუშაო ქსელამდე მხოლოდ იმიტომ, რომ ორივე სერვისი დაკავშირებულად ჩანს. როცა ვინმე იტყობინება, რომ ბმული არ იხსნება, სანამ რომელიმე VPN-ს შეეხებით, შეამოწმეთ აპის რომელი ასლი ამუშავებდა მას და რომელი პროფილი ფლობს იმ ანგარიშს.

მოეპყარით საზღვარს როგორც უცვლელს. მეორე პროფილის შექმნა ან სამუშაო პროფილის მოხსნა დამსაქმებლის მარშრუტიზაციის გადაწყვეტილების გვერდის ასავლელად ანადგურებს სწორედ იმ გამოყოფას, რომელმაც განლაგება მუშაობად აქცია, ხოლო მართულ მოწყობილობაზე ეს ჩვეულებრივ პოლიტიკის დარღვევაა და არა კონფიგურაციის ცვლილება.

ჯაჭვი, სადაც თანმიმდევრობა დიზაინია

ჯაჭვი არის განლაგება, რომელსაც ხალხი ჩვეულებრივ გულისხმობს, როცა ამბობს ორივე ერთად: ტელეფონის გვირაბი მოძრაობს როუტერის გვირაბის შიგნით. ეს შეიძლება იმუშაოს და შეზღუდვები კონკრეტულია. გარე პროვაიდერმა უნდა დაუშვას სამუშაო გზა ტელეფონის VPN ბოლო წერტილამდე, რაც UDP-ზე დაფუძნებული პროტოკოლებისთვის ნიშნავს, რომ გარე სერვისმა არ უნდა დაბლოკოს ან შეზღუდოს ეს ტრაფიკი.

გაიგეთ, ვინ რას ხედავს. გარე პროვაიდერი ხედავს კავშირს შიდა ბოლო წერტილისკენ. შიდა პროვაიდერი იღებს ტელეფონის ტრაფიკს გარე გასასვლელიდან და გადასცემს შემდგომ. საბოლოო დანიშნულება ჩვეულებრივ ხედავს შიდა სერვისის გასასვლელს და ჯაჭვის გასწვრივ არც ერთი პროვაიდერი ბრმა არ არის; აპის ანგარიშები მაინც იდენტიფიცირებენ მომხმარებელს მარშრუტის მიუხედავად.

დაელოდეთ პრაქტიკულ ხარჯებს. ყოველი შრე ამატებს ინკაფსულაციას, ამიტომ ეფექტური MTU ეცემა და მნიშვნელობა, რომელიც ერთი გვირაბისთვის კარგი იყო, ახლა იშლება ან ჩერდება, სანამ შიდა გვირაბის MTU კონსერვატიულად არ დაყენდება. ორი შრე ასევე ნიშნავს ორ უკმარისობაზე დამოკიდებულებას და ორ კრებულ სიცოცხლის შემანარჩუნებელ შეტყობინებას, ხოლო TCP-ზე დაფუძნებული შიდა გვირაბი დანაკარგებიან გარე რგოლზე შეიძლება ისე ჩერდებოდეს, როგორც მკვდარი სერვერი.

ყველაზე მნიშვნელოვანი: ჯაჭვი არ აერთიანებს ორ კერძო ქსელს. მარშრუტები, გადამფარავი პრეფიქსები, DNS გარჩევა და წვდომის წესები ცალკე გადაწყვეტილებებად რჩება და როუტერი, რომელიც ატარებს ერთ VPN-ს, სანამ ტელეფონი მეორეს ატარებს, ტელეფონს ორივე მისამართთა სივრცეს არ აძლევს.

შეამოწმეთ დიზაინი, სანამ გამართავთ მას

ჩაწერეთ განლაგება ერთი წინადადებით და გამოსცადეთ იმ აპზე, რომელიც ჩავარდა. თანმიმდევრულმა წვდომამ უნდა აჩვენოს ერთი გვირაბი ერთ ჯერზე; პროფილების გამოყოფამ უნდა აჩვენოს თითოეული აპი თავის მომხმარებელში; ჯაჭვმა უნდა აჩვენოს შიდა გვირაბის დამყარება გარე ინტერფეისზე და არა ფიზიკურზე.

adb shell ip -br addr
adb shell ip route get 10.20.0.8
adb shell dumpsys connectivity | grep -i vpn

თუ მარშრუტის ძებნა ასახელებს ფიზიკურ ინტერფეისს, სანამ აპი გვირაბს ელოდება, დიზაინი და აპის კონტექსტი არ თანხმდება და არც ერთი დამატებითი VPN აპი არ შერიგებს მათ. მართული პროფილების დოკუმენტაცია მოიცავს გამოყოფის წესებს, თუ გჭირდებათ პოლიტიკის დეტალი და არა მარშრუტიზაციის.