VPN қосулы кезде Android firewall ережесі қайда тұруы керек
Тек бір VpnService белсенді бола алады, сондықтан firewall қолданбасы мен VPN қолданбасы бірінің үстіне бірі қабатталмайды. Бір жұмыс сұранысын бастан өткізіп, әр ережені оның трафигі шынымен өтетін жерге қойыңыз.
Сізде бір сөйлемдік саясат бар: бұл қолданба жұмыс қызметіне жете алады, басқа ешнәрсеге емес. Келесі сұрақ өнім таңдауына ұқсайды, бірақ ол орын сұрағы, өйткені әрбір мүмкін орындау нүктесі телефон трафигінің басқа бөлігін көреді. Шлюз туннельге кіретін трафикті ғана көреді. Телефон жағындағы сүзгі өзіне бақылауға рұқсат етілгенді ғана көреді. Бір сұранысты екеуінен де өткізу жауапты айқын етеді.
Өнімнен емес, сөйлемнен бастаңыз
Бірдеңе таңдамас бұрын талапты кеңейтіңіз. Бұл пакет пен ол жұмыс істейтін профильді білдіреді, өйткені жұмыс профиліндегі қолданба жеке профильдегі сол қолданбадан басқа пайдаланушы. Бұл межені білдіреді: хост, порт және протокол, қызмет атауы емес. Бұл сол атауды шешетін DNS жолын білдіреді және туннель жоқ кезде не болуы керектігін де білдіреді.
Жазылған түрде мысалдың саясаты төрт жол: жұмыс қолданбасы жұмыс қызметіне жете алады; жұмыс қолданбасы басқа ешнәрсеге жете алмайды; басқа қолданбалар өзгермейді; туннель жоқ болса, жұмыс қолданбасы тікелей жолға құлауға емес, қабылдамауға жатады. Әр жолдың иесі бар және бәрі бір иесі емес.
1-қадам: телефонның өзі нені орындай алады
Root жоқ Android firewall — артында қашық туннель болмаса да трафикті жергілікті ұстайтын VpnService. Android пайдаланушы профиліне бір ғана белсенді VPN қызметіне рұқсат береді, сондықтан екінші firewall қолданбасы біріншісінің артына тізбектелмейді. Ол оны алмастырады және бірінші қолданба сүзген интерфейс жоғалады.
Сондықтан VPN клиентінің қасына firewall орнату адамдар күтетін үйлесімді сирек береді. Firewall іске қосылып, VPN ажыраса, ешнәрсе бірікпеді; екеуі орын ауыстырды. Интерфейсті ауыстыру ынтымақтастық емес, ал белгісі — басқа қолданба ашылған сайын туннельдің үнемі үзілуі.
Қолдау көрсетілген нұсқалар бар: өзіңіз қолданып жүрген VPN клиентіне кіріктірілген сүзу, құрылғы саясатын басқарушы немесе жұмыс профилі арқылы басқарылатын платформалық бақылау, немесе өндіруші құжаттайтын архитектура. Қалғанының бәрі әр қолданба жаңартуынан кейін қайта тексеруді қажет ететін тәжірибе.
2-қадам: шлюз нені орындай алады
Трафик алыс ұшында шифрдан шығарылған соң, шлюз жіберілетін пакеттерді мақұлданған мекенжайларға, қызметтерге немесе аутентификацияланған VPN сәйкестіктеріне шектей алады. Бұл одан шығатын барлық нәрсеге нақты орындау және жеке ішкі желілерге қатынасты шектеуге дұрыс орын.
Ол алмайтыны — әр қарапайым IP пакетіне тіркелген телефон қолданбасының сәйкестігі. Бір туннель мекенжайын бөлісетін бірнеше қолданба шлюз үшін бір субъект, егер дизайн оларға жеке мекенжайлар немесе жеке аутентификацияланған сәйкестіктер бермесе. Сондықтан шлюздегі пайдаланушыға арналған ереже телефондағы қолданбаға арналған ереже емес, басқару консолы оны қалай атаса да.
3-қадам: ешқашан келмейтінді тізіңіз
VPN-нен шығарылған қолданба жақын құрылғымен байланысса, шлюзге ешқашан жетпейді, сондықтан шығыс firewall ешқашан алмаған пакетті қабылдамайды. Дәл солай үзіліс кезіндегі кездейсоқ тікелей жолға және жергілікті кіру желісіндегі кіріс әсеріне де қатысты. Бұлар анықтама бойынша жергілікті шекаралар.
Керісінше де рас: байланысқа рұқсат беретін жергілікті ереже шлюздің жеке желі ACL арқылы кіру бермейді. Бір сұраныс екі шекараға да бағынуы мүмкін, ал біреуін қанағаттандыру екіншісі туралы ештеңе айтпайды.
4-қадам: әр ережені жолға тағайындаңыз
Бірдеңені конфигурацияламас бұрын шешімді кестеге салыңыз, өйткені бос ұяшықтар дизайн сәтсіздікке ұшырайтын жер.
| Жол | Кім орындай алады | Соқыр нүкте |
|---|---|---|
| Жұмыс қолданбасы жұмыс қызметіне, туннель қосулы | Мекенжай мен қызмет бойынша шлюз ACL, қосымша басқа жолдардағы жергілікті бұғаттау | Шлюз пакетті қай қолданба жібергенін көрмейді |
| Жұмыс қолданбасы басқа межелерге, туннель қосулы | Қолданбаны танитын жергілікті сүзгі, немесе сол межелер сонда мекенжайланған болса шлюз | Жергілікті сүзгінің өзі белсенді VpnService болуы керек |
| Туннельсіз жұмыс қолданбасы | Жергілікті қабылдамау, қолданба тікелей жол ала алмауы үшін | Сүзгі туннель жоғалғанда да тұруы керек |
| Жақын LAN құрылғысы | Тек жергілікті саясат | Шлюз оны ешқашан көрмейді |
Жұмыс істейтін пішін — екі міндеті бар екі шекара. Қолданбаны танитын жергілікті шекара телефон мінез-құлқын басқарады, тікелей құлауды қоса, ал шлюз шекарасы қашық ресурстарды басқарады. Шлюз жағы жұмыс қызметіне рұқсат беріп, қалған барлық жеке ішкі желіні қабылдамай алады, ал телефон жағындағы саясат қолданба алатын тікелей жол туралы өзі шешеді.
5-қадам: тасымалды тірі ұстаңыз, содан кейін тексеріңіз
Қандай жергілікті саясат таңдасаңыз да, ол VPN-ді орнататын және ұстап тұратын тасымалға рұқсат беруі керек. Сол тасымалды бұғаттау телефонды туннельсіз және саясатсыз қалдырады, бұл ештеңені дәйекті орындамайды және диагностикалау қиын, өйткені қолданбаның желісі жоқ.
Содан кейін жалпы әсерді емес, бастапқы сөйлемнің әр жолын тексеріңіз: жұмыс қолданбасы жұмыс қызметіне жетеді, сол қолданба басқа межеде қабылданбайды, жұмыс емес қолданба бұрынғыша әрекет етеді, ал туннель тоқтағанда жұмыс қолданбасы тікелей байланысқа құламайды. DNS жолын бөлек тексеріңіз, өйткені жеке DNS немесе шифрланған шешуші тек мекенжайларды тексеретін сүзгіден айналып өтуі мүмкін.
Осы қадамдардың біреуін телефонда орындау мүмкін болмаса, талап — архитектура сұрағы, firewall параметрі емес. Саясатты өзіңіз басқаратын құрылғы мен өзіңіз басқаратын шлюз арасында бөлу әдетте адал жауап, ал Android VPN қосылымы құжаттамасы платформа бір қызметке нені рұқсат етіп, нені рұқсат етпейтінін растайтын орын.