Android 12 және IKEv1 VPN: жеткізу нұсқасы, IKEv2 және үшінші тарап қолданбалары

Екі телефон да Параметрлерде Android 12 көрсетеді, бірақ олардың тек біреуі ғана шлюзіңіз ұсынатын ескі IPsec XAuth профилін әлі іске қосады. Айырмашылық пайдаланушы қолы жететін параметр емес: native IKEv1 жолын басқаратын күзет құрылғы жеткізілген SDK деңгейіне қарайды, тек қазір жұмыс істеп тұрған нұсқаға емес. Осы бір деталь флот салыстыруының мәні бар-жоғын шешеді, сондай-ақ үш көшу жолының қайсысы сізге шынымен қажет екенін шешеді.

Екі Android 12 телефоны бір сынақ жағдайы емес

Жаңа құрылғылардың ескі IKEv1 профильдерін іске қосуына жол бермеген AOSP өзгерісі DEVICE_INITIAL_SDK_INT мәнін Android S-пен салыстырады, яғни API 31. Native іске қосу жолында сәйкес профиль кез келген пайдалы қосылыс пайда болмай тұрып қолдау көрсетілмейтін операция қатесін тудырады. Android 11-мен жеткізіліп, кейін жаңартылған телефон бұл күзеттен әлі өтеді; Android 12-мен шыққан модель өтпейді.

Екі санды жөндеу қосылған құрылғыда оқуға болады:

adb shell getprop ro.product.first_api_level
adb shell getprop ro.build.version.sdk
adb shell getprop ro.build.version.release

Бірінші мән — күзетке қызықтыратын жеткізу деңгейі, екіншісі — телефон бүгін орындайтын деңгей. Қасиет жоқ жерде маркетингтік атаудан болжам жасамай, модельдің қолдау құжаттамасына сүйеніңіз, және өндіруші құрастыруы базалық нұсқаның барлық үйлесімділік жолдарын сақтайды деп ойламаңыз.

Тағы бір айырмашылық бір сағат босқа кеткен қолдау уақытын үнемдейді: VPN параметрлерінде әлі тізімделген сақталған профиль платформа оны іске қоса ма, жоқ па — ол туралы ештеңе дәлелдемейді. PSK-ны қайта енгізу немесе маршруттарды өңдеу бұрын жұмыс істейтін протокол қолдауын тексеруді алып тастай алмайды, ал сәтсіздік тіркелгі деректерінің мәселесіне ұқсайды, бірақ олай емес.

Бірінші жол: native стекті әлі жұмыс істейтін жерде ұстау

Ескі стек — жүйенің VPN экранынан IPsec XAuth PSK, IPsec Hybrid RSA және L2TP/IPsec PSK профильдерін оқитын стек. API 31-ден төмен жеткізілген құрылғыда жаңартудан кейін де ол жарамды жол болып қалады, сондықтан ескі телефонда сынақ сәтті болуы мүмкін, ал жаңа телефон сол профильді іске қоса алмайды.

Маңызды салыстыру Android нұсқасы бойынша емес, құрылғы класы бойынша жүргізіледі: флоттағы модельдерді тізімдеңіз, олардың іске қосу API деңгейлерін оқыңыз және оларды профильді әлі іске қосатын және қоса алмайтын құрылғыларға бөліңіз. Кез келген басқа тәсіл пайдаланушы жаңа телефон сатып алған сәтте өзіне қайшы келетін қолдау саясатын туғызады.

Екінші жол: платформалық IKEv2 профильдері

Android-тың IKEv2 үшін жария provisionning моделі — басқа объект, қайта аталған IKEv1 профилі емес. IKEv2 профильдеріне арналған платформа API-і API 30-бен келді және шлюз ұсынатын аутентификация әдісімен IKEv2 күтеді, әдетте сертификатқа негізделген немесе EAP. IKEv1 XAuth немесе Hybrid-тен IKEv2-ге сымдық үйлесімді жаңарту жоқ: шлюзді жаңа протоколға конфигурациялау керек, ал профиль сәйкес сәйкестікті алып жүруі керек.

Бұл ең ұзақ өмірлі жол, және нақты жұмысты ашатын да осы. Сәйкестікті тексеру, пайдаланушыны аутентификациялау, DNS, бөлінген туннель маршруттары және ресурстарды авторландыру — барлығы көшуден өтуі керек; тек қол алысуды сәтті ету пайдаланушыларды еш жерге жетпейтін туннельге байлап қояды.

Орналастыру әдетте пайдаланушы өрістерді тергеннен гөрі MDM немесе басқарылатын конфигурация арқылы жүреді. Егер бұл инфрақұрылым әлі жоқ болса, көшу жоспары оны қамтуы керек, өйткені әр құрылғыда IKEv2 профилін қолмен қайта енгізу — қолдау қызметі сіңіре алатын операция емес.

Үшінші жол: үшінші тарап клиенттік қолданбасы

Кейбір VPN қолданбалары өз протокол іске асыруын әкеледі және native стекке мүлде тәуелді емес. Бұл оларды жылдам көше алмайтын флот үшін заңды уақытша шешім етеді, бірақ үйлесімділік сұрағы қолданбаға ауысады: ол шлюзіңіз сөйлейтін дәл IKEv1 режимін, шлюз талап ететін аутентификация мен шифр жиынтықтарымен бірге іске асыра ма.

Қолданбаның өз қолдау матрицасын бедел деп қабылдаңыз, дүкен сипаттамасын емес, және ұсынбас бұрын бір нақты құрылғыны нақты шлюзге қарсы сынаңыз. Жойылған платформа жолын қалпына келтіру үшін телефонды root-тау да сүйемелденетін шешім емес; ол мәселені келесі жүйелік жаңарту үнсіз бұза алатын қолдаусыз конфигурацияға ауыстырады.

Шлюз ұсына алатын нәрсеге қарай таңдаңыз

Шешім екі нәрсені білгенде тарылады: қай құрылғылар API 31-де немесе одан кейін шыққанын, және шлюздің сол тіркеу моделімен IKEv2 қызметін ұсына алатынын. Егер ұсына алса, көшіңіз және ескі профильге инвестиция салуды тоқтатыңыз. Егер әлі алмаса, оны әлі іске қосатын құрылғылар үшін IKEv1 қалдырыңыз, ал жаңа құрылғыларға үшінші тарап клиентін құжатталған, уақытпен шектелген ерекшелік ретінде беріңіз, айтылмаған айналма жол ретінде емес.

Екі нәрсе жоспарды қорғауға болатын етеді. Біріншіден, әр ерекшеліктің себебін модельмен және жеткізу деңгейімен бірге жазып алыңыз, аудитор шекараның түсіндірілмеген таңдау емес, платформа күзеті екенін көрсін. Екіншіден, көшуді жоспарланған жұмыс деп қарастырыңыз: IKEv1 стандарттар жолында ескірген (RFC 9395), бұл қалған құрылғылардың азая беретінін және ерекшеліктердің олармен бірге бітуі керектігін білдіреді.