Android-тағы IKEv2 VPN профильдері пайдаланушыға байланысты, құрылғыға емес

Android-тағы кірістірілген VPN деген сөз екі байланыссыз нәрсені қамтиды: платформа сіздің атыңыздан іске қосатын хаттама іске асырылуын және өндіруші көрсетуді шешкен параметрлер пішінін. Бұл бір объект емес және ешқайсысы туннельдің оған мұқтаж қосымшалары бар пайдаланушыға тиесілі екенін кепілдемейді. Жасау нақты пайдаланушыда нақты шақырушы бумамен жүреді, ал кейінгінің бәрі сол контексті мұра етеді. Параметрлер экранынан бұрын меншік тізбегін оқыңыз.

Платформа сіз үшін не салады

Android 11-ден бастап платформа VPN жасауды VpnManager арқылы ұсынады. Мақұлданған қосымша IKEv2 профилін сипаттайды, ал платформа IPsec және IKE алмасуын өзі жүргізеді, сондықтан қосымша пакеттерге ешқашан тимейді. Бұл өз VPN қосымшасынан маңызды айырмашылық, ол VpnService іске асырады және туннельді өз процесінде салады.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

Жоғарыдағы шақыру пішіннің нобайы, көшіруге арналған блок емес: құрастырушыда бірнеше аутентификация нұсқасы бар, олар API деңгейіне қарай ерекшеленеді, ал профиль сервер сертификатының сенім материалын да алып жүреді. Меншік мәселесі үшін маңыздысы синтаксистен тар.

Бұл жобадан екі қасиет шығады. Профиль деректер, сондықтан әкімші оны қолмен теру орнына жасай алады. Ал туннель платформаның желісі, сондықтан қосымшалар оны VPN тасымалы бар желі ретінде көреді, басқа қосымшаның сокеті ретінде емес.

Меншік иесі — пайдаланушы, содан кейін бума

Android-тың көппайдаланушылық режимі нақты бөлу, затбелгі емес. Жұмыс профилі — өзінің орнатылған бумалары, қосымша деректері, кілт қоймасы және сенім тіректері бар жеке пайдаланушы. Екі жерде орнатылған бір өнім — түрлі пайдаланушы идентификаторлары бар екі дана, белгішелер мен өнім атаулары бірдей болса да.

Жасау сол пайдаланушыдағы шақырушы бумаға қарсы тіркеледі. Сондықтан жеке профильде жұмыс істейтін жасау қосымшасы жеке туннель жасайды, ал жұмыс профиліндегі жұмыс қосымшалары одан ештеңе көрмейді. Керісінше де дұрыс, сондықтан жұмыс профилінің туннелі жеке қосымшаларға көрінбейді, егер анық саясат басқаша демесе.

Құрылғы саясатының контроллері басқарылатын профиль атынан жасай алады, бұл кеңседе ешкім жасағанын есіне түсірмейтін жазбаны түсіндіреді. Телефонды аудиттеп жатсаңыз, сұр профильдің ықтимал иесі — сол, және оны тәжірибе ретінде жою сіздің жұмысыңыз емес.

Пакет қозғалмас бұрын үш қақпа

Бірінші қақпа — өкілеттік: басқару VPN-ге жалпы рұқсат беруі керек, кейбір енгізулер болуымен қатар түрін де шектейді. Екіншісі — сәйкестік: клиент сертификаты немесе тіркелгі деректері профильді иеленетін пайдаланушыда болуы керек, өйткені жеке қоймаға импортталған сертификат жұмыс профиліне көрінбейді.

Үшіншісі — келісім және саясат. Пайдаланушы әдетте алғашқы қолдануда қосылымды мақұлдайды, ал әкімші оны әрдайым қосулы ретінде бекіте алады, қаласа құлыптаумен, трафик туннельден шыға алмайтындай. Бұл параметрлер туннель өшкенде не болатынын шешеді, пайдаланушылар байқайтын бөлік — сол.

Аясы — үшеуі түйісетін жер. Профиль шлюз бен сәйкестікті анықтайды, ал саясат қабаты қай қосымшалардың туннельді пайдалануына болатынын және трафиктің одан мәжбүрлі өтетінін шешеді. Сондықтан шлюз мекенжайы бірдей екі телефон мүлде басқаша ұстауы мүмкін.

Неліктен жеке қосылым жұмыс қосымшаларын қамтымайды

Жұмыс қосымшасының трафигі жұмыс пайдаланушысында пайда болады, ал қолданылатын желі саясаты — сол пайдаланушыдағы. Жеке профильде құрылған туннель оны тасымалдамайды, индикатор қаншалықты сау көрінсе де. Осы бір факт пайдаланушы VPN қосылды деп ант етіп, белгілі бір қосымша ішкі қызметке жете алмайтын есептердің көбін түсіндіреді.

Атауларды шешу сол шекараны ұстанады. Жеке DNS жұрнақтары мен сенім тіректері пайдаланушыға қатысты, сондықтан жеке профильде шешілетін ішкі хост атауы жұмыс профилінде сәтсіз болуы мүмкін, тіпті балама көрінетін туннельмен де, өйткені шешуші саясаты мен CA қоймасы әртүрлі объектілер.

Нақты тіркелуде тексеріңіз, зертханалық телефонда емес

Құрылғыда алдымен жазбаның иесін анықтаңыз: қай пайдаланушы, қай бума және профиль платформа жасаушысынан ба, әлде өз VPN қызметі бар қосымшадан ба. Содан кейін профиль күтетін сәйкестіктің сол пайдаланушының кілт қоймасында шынымен бар екенін растаңыз.

Өмірлік циклді тексеріңіз, тек қосылымды емес. Кіріңіз, тіркелгі деректері қоймасын ашыңыз, жұмыс профилі кешке үзіліс жасасын, содан кейін қайтарып, туннель қолмен тимей-ақ қайтатынын тексеріңіз. Жұмыс уақытынан кейін өшетін профиль туннелін өзімен алып кетеді, және бұл ақау емес, күтілетін мінез-құлық, егер күтілетін қолжетімсіз күй жазылған болса.

Соңында жұмыс қосымшасының өзін белгілі ішкі соңғы нүктеге қарсы тексеріп, жеке профиль нәтижесімен салыстырыңыз. Екеуі ерекшеленуі мүмкін; ерекшеленбеуі тиіс нәрсе — меншік моделі. Егер туннель қате пайдаланушыға тиесілі болса, сертификаттарды қайта беру оны түзетпейді.

Мәзірді ашу үшін жасырын параметрлер әрекеттерін іске қосып мәселені күштемеңіз және қосылым көрінуі үшін профильдер арасында жеке кілттерді көшірмеңіз. VpnManager анықтамасы шақырушының не жасай алатынын құжаттайды; мақұлданған жол сіздің жағдайыңызды қамтымаса, бұл әкімшінің шешімі, параметрлер мәселесі емес.