Бір телефонда екі VPN: қосымша санын емес, құрылымды таңдаңыз

Екі VPN пайдалану — бір сұраныс емес. Бұл екі ұйымға бірінен соң бірі жетуді, жұмыс және жеке қосымшаларды бөлек ұстауды немесе бір туннельді екіншісінің ішінде жүргізуді білдіруі мүмкін. Android бұл үш жағдайды мүлдем басқаша өңдейді, ал телефонда орнатылған VPN қосымшаларының саны архитектура емес. Оларды ажырататын сұрақ қарапайым: бір қосымша үшін екі жол сол сәтте болуы керек пе?

Үш құрылым, бір сұрақ

Егер жауап жоқ болса, өйткені екі желі әр уақытта пайдаланылады, сізге әдейі ауыстыру қажет. Егер жауап жоқ болса, өйткені қосымшалардың өзі бөлек, сізге профильдерді бөлу қажет, мұнда әр қосымша өз туннеліне ие контексте отырады. Егер жауап иә болса және бір жол екіншісін физикалық түрде алып жүруі керек болса, сізге тізбек қажет, және бұл үшеуінің ішінде реттілік жобаның бөлігі болатын жалғыз жағдай.

Қалғанының бәрі осы таңдаудан туындайды. Ауыстырудың өтпелі терезесі, бөлудің саясат шекарасы, ал тізбектің қосымша шығыны мен тәуелділік құны бар. Дұрыс емесін таңдау таза сәтсіздікке әкелмейді; ол қосылған сияқты көрінетін телефон мен еш жерге жетпейтін қосымшаны тудырады.

Бір пайдаланушы контекстінде ауыстыру

Android әр пайдаланушыға бір белсенді VPN қызметіне рұқсат береді. Сол контексте екінші VPN қосымшасын іске қосу біріншісін алмастырады немесе мүлдем қабылданбайды; ол екі маршрут жиынын ешқашан біріктірмейді және олардың шифрлауын бірінің үстіне бірін қоймайды. Бір пайдаланушының ішінде екі туннель — реттілік, қосынды емес.

Бұл қатынау шын мәнінде ретті болғанда орынды. Профильдерді белсендісі айқын болатындай атаңыз, ауыстыру алдында құпия нәрсенің бәрін бітіріңіз және екі жолдың ешқайсысы толық орнықпаған қысқа терезені күтіңіз. Браузер қойындысын жабу сессияны аяқтаумен бірдей емес: қойынды өз тіркелгісінің күйін сақтап, келесі сұранысты жаңа таңдалған желі арқылы жібере алады, және бұл адамдар кейін байқайтын сол ағып кету.

Ауыстыру сізге бере алмайтын нәрсе — бір уақытта екі желіде тұрған машина. Егер қосымшаға әр жақтан жеке мекенжай қажет болса, клиенттің ешбір тәртібі оны жасамайды.

Профиль бойынша бөлу

Басқарылатын жұмыс профилі — өз қосымшалары, кілт қоймасы және желілік саясаты бар жеке пайдаланушы. Жұмыс пошта клиенті ұйымның туннелін пайдалана алады, ал жеке браузер жекесін пайдаланады, және екеуі де бір уақытта қосыла алады, өйткені олар орын үшін бәсекелесетін бір контексте емес.

Бөлу — сонымен қатар шекара. Жеке браузер жұмыс туннелін қарызға алмайды, жұмыстың DNS жұрнақтарын көрмейді және екі қызмет те қосылған болып көрінгендіктен ғана жұмыс желісіне жетпейді. Біреу сілтеменің ашылмайтынын хабарлағанда, екі VPN-нің қайсысына да қол тигізбес бұрын қосымшаның қай көшірмесі оны өңдегенін және қай профиль сол тіркелгіге ие екенін тексеріңіз.

Шекараны тұрақты деп қараңыз. Жұмыс берушінің маршруттау шешімін айналып өту үшін екінші профиль жасау немесе жұмыс профилін жою — құрылымды жұмыс істеуге мүмкіндік берген бөлудің өзін жояды, ал басқарылатын құрылғыда бұл әдетте конфигурация өзгерісі емес, саясатты бұзу.

Реттілігі жоба болатын тізбек

Тізбек — адамдар екеуі бірге дейін дегенде әдетте меңзейтін құрылым: телефонның туннелі маршрутизатордың туннелінің ішінде жүреді. Ол жұмыс істеуі мүмкін, және шектеулер нақты. Сыртқы провайдер телефонның VPN шеткі нүктесіне жұмыс істейтін жолға рұқсат етуі керек, бұл UDP негізіндегі протоколдар үшін сыртқы қызметтің бұл трафикті блоктамауы немесе шектемеуі керектігін білдіреді.

Кімнің нені көретінін түсініңіз. Сыртқы провайдер ішкі шеткі нүктеге қарай байланысты көреді. Ішкі провайдер телефон трафигін сыртқы шығыстан қабылдап, оны әрі қарай жібереді. Соңғы межелі орын әдетте ішкі қызметтің шығысын көреді, және тізбек бойындағы ешбір провайдер соқыр емес; қосымша тіркелгілері жолға қарамастан пайдаланушыны таниды.

Практикалық шығындарды күтіңіз. Әр қабат инкапсуляция қосады, сондықтан тиімді MTU төмендейді және бір туннель үшін жақсы болған мән енді ішкі туннельдің MTU-ы ұстамды түрде орнатылғанша бөлшектенеді немесе тоқтайды. Екі қабат екі ақаулық тәуелділігін және екі өмір сүру сақтау хабарламалар жиынын да білдіреді, ал жоғалтуы бар сыртқы байланыс үстіндегі TCP негізіндегі ішкі туннель өлген серверге ұқсайтындай тоқтауы мүмкін.

Ең бастысы, тізбек екі жеке желіні біріктірмейді. Маршруттар, қабаттасатын префикстер, DNS шешу және қатынау ережелері жеке шешім болып қалады, ал бір VPN алып жүрген маршрутизатор телефон екіншісін алып жүргенде телефонға екі мекенжай кеңістігін де бермейді.

Жобаны жөндеуден бұрын тексеріңіз

Құрылымды бір сөйлеммен жазып, сәтсіз болған қосымшаға қарсы сынап көріңіз. Ретті қатынау бір уақытта бір туннель көрсетуі керек; профильдерді бөлу әр қосымшаны өз пайдаланушысында көрсетуі керек; тізбек ішкі туннельдің физикалық емес, сыртқы интерфейс үстінде орнығатынын көрсетуі керек.

adb shell ip -br addr
adb shell ip route get 10.20.0.8
adb shell dumpsys connectivity | grep -i vpn

Егер маршрут іздеу физикалық интерфейсті атаса, ал қосымша туннельді күтсе, жоба мен қосымша контексті келіспейді, және ешбір қосымша VPN қосымшасы оларды татуластырмайды. Басқарылатын профильдер құжаттамасы бөлу ережелерін қамтиды, егер сізге маршруттау емес, саясат егжей-тегжейі қажет болса.