VPN күйүк кезде Android firewall эрежеси кайда турушу керек
Тек бир VpnService активдүү боло алат, ошондуктан firewall колдонмосу менен VPN колдонмосу биринин үстүнө бири кабатталбайт. Бир жумуш сурамын бастан өткөрүп, ар бир эрежени анын трафиги чынында өткөн жерге коюңуз.
Сизде бир сүйлөм саясат бар: бул колдонмо жумуш кызматына жете алат, башка эч нерсеге эмес. Кийинки суроо продукт тандоого окшойт, бирок бул орун суроосу, анткени ар бир мүмкүн болгон аткаруу чекити телефон трафигинин башка бөлүгүн көрөт. Шлюз туннелге киргенди гана көрөт. Телефон тараптагы фильтр өзүнө байкоого уруксат берилгенди гана көрөт. Бир сурамды экөөнөн тең өткөрүү жоопту ачык кылат.
Продукттан эмес, сүйлөмдөн баштаңыз
Бир нерсе тандабастан мурун талапты кеңейтиңиз. Бул пакетти жана анын иштеген профилин билдирет, анткени жумуш профилиндеги колдонмо жеке профилдеги ошол эле колдонмодон башка колдонуучу. Бул багытты билдирет: хост, порт жана протокол, кызматтын аталышы эмес. Бул ошол атты чечкен DNS жолун билдирет жана туннел жок кезде эмне болушу керектигин да билдирет.
Жазылган түрдө мисалдын саясаты төрт сап: жумуш колдонмосу жумуш кызматына жете алат; жумуш колдонмосу башка эч нерсеге жете албайт; башка колдонмолор өзгөрбөйт; туннел жок болсо, жумуш колдонмосу түз жолго кулоого эмес, четке кагууга тийиш. Ар бир саптын ээси бар жана баары бир ээси эмес.
1-кадам: телефон өзү эмнени аткара алат
Root жок Android firewall — артында алыскы туннел болбосо да трафикти жергиликтүү кармаган VpnService. Android колдонуучу профилине бир гана активдүү VPN кызматына уруксат берет, ошондуктан экинчи firewall колдонмосу биринчинин артына тизмектелбейт. Ал аны алмаштырат жана биринчи колдонмо чыпкалаган интерфейс жок болот.
Ошондуктан VPN клиентинин жанына firewall орнотуу адамдар күткөн айкалышты сейрек берет. Firewall ишке кирип, VPN ажыраса, эч нерсе бириктирилген жок; экөө орун алмашты. Интерфейсти алмаштыруу кызматташтык эмес, ал эми белгиси — башка колдонмо ачылган сайын туннелдин үзгүлтүксүз үзүлүшү.
Колдоого алынган варианттар бар: өзүңүз колдонуп жүргөн VPN клиентине камтылган чыпкалоо, түзмөк саясатын башкаруучу же жумуш профили аркылуу башкарылуучу платформалык көзөмөл, же өндүрүүчү документтеген архитектура. Калганынын баары ар бир колдонмо жаңыртуусунан кийин кайра текшерүүнү талап кылган тажрыйба.
2-кадам: шлюз эмнени аткара алат
Трафик алыскы учунда шифрден чыгарылгандан кийин, шлюз жөнөтүлүүчү пакеттерди бекитилген даректерге, кызматтарга же аутентификацияланган VPN инсандыктарына чектей алат. Бул андан чыккан бардык нерсеге чыныгы аткаруу жана жеке ички тармактарга кирүүнү чектөө үчүн туура орун.
Ал албаган нерсе — ар бир кадимки IP пакетине тиркелген телефон колдонмосунун инсандыгы. Бир туннел дарегин бөлүшкөн бир нече колдонмо шлюз үчүн бир субъект, эгер долбоор аларга өзүнчө даректерди же өзүнчө аутентификацияланган инсандыктарды бербесе. Ошондуктан шлюздеги колдонуучуга арналган эреже телефондогу колдонмого арналган эреже эмес, башкаруу консолу аны кандай атаса да.
3-кадам: эч качан келбегенди тизмелеңиз
VPNден чыгарылган колдонмо жакын түзмөк менен байланышса, шлюзге эч качан жетпейт, ошондуктан чыгуу firewall эч качан албаган пакетти четке кага албайт. Ошондой эле үзгүлтүк учурундагы кокустан түз жолго жана жергиликтүү кирүү тармагындагы кирүү таасирине да тиешелүү. Булар аныктама боюнча жергиликтүү чектер.
Тескерисинче да туура: байланышка уруксат берген жергиликтүү эреже шлюздун жеке тармак ACL аркылуу кирүү бербейт. Бир сурам эки чекке тең баш ийиши мүмкүн, ал эми бирин канааттандыруу экинчиси жөнүндө эч нерсе айтпайт.
4-кадам: ар бир эрежени жолго дайындаңыз
Бир нерсени конфигурациялабастан мурун чечимди таблицага салыңыз, анткени бош уячалар долбоорлор ийгиликсиз боло турган жер.
| Жол | Ким аткара алат | Сокур чекит |
|---|---|---|
| Жумуш колдонмосу жумуш кызматына, туннел күйүк | Дарек жана кызмат боюнча шлюз ACL, кошумча башка жолдордогу жергиликтүү бөгөт | Шлюз пакетти кайсы колдонмо жөнөткөнүн көрбөйт |
| Жумуш колдонмосу башка багыттарга, туннел күйүк | Колдонмону тааныган жергиликтүү фильтр, же ошол багыттар ал жерде даректелген болсо шлюз | Жергиликтүү фильтр активдүү VpnService болушу керек |
| Туннелсиз жумуш колдонмосу | Жергиликтүү четке кагуу, колдонмо түз жолду ала албашы үчүн | Фильтр туннел жок болгондо да турушу керек |
| Жакын LAN түзмөгү | Тек жергиликтүү саясат | Шлюз аны эч качан көрбөйт |
Иштеген форма — эки милдети бар эки чек. Колдонмону тааныган жергиликтүү чек телефондун жүрүм-турумун башкарат, түз кулоону кошкондо, ал эми шлюздун чеги алыскы ресурстарды башкарат. Шлюз тарабы жумуш кызматына уруксат берип, калган бардык жеке ички тармакты четке кага алат, ал эми телефон тараптагы саясат колдонмо ала турган түз жол жөнүндө өзү чечим кабыл алат.
5-кадам: ташууну тирүү кармаңыз, анан текшериңиз
Кандай жергиликтүү саясат тандасаңыз да, ал VPNди орноткон жана кармап турган ташууга уруксат бериши керек. Ошол ташууну бөгөттөө телефонду туннелсиз жана саясатсыз калтырат, бул эч нерсени ырааттуу аткарбайт жана диагностикалоо кыйын, анткени колдонмонун тармагы жок.
Анан жалпы таасирди эмес, баштапкы сүйлөмдүн ар бир сабын текшериңиз: жумуш колдонмосу жумуш кызматына жетет, ошол эле колдонмо башка багытта четке кагылат, жумуш эмес колдонмо мурункудай жүрөт, ал эми туннел токтогондо жумуш колдонмосу түз байланышка кулабайт. DNS жолун өзүнчө текшериңиз, анткени жеке DNS же шифрленген чечүүчү тек даректерди текшерген фильтрден айланып өтүшү мүмкүн.
Бул кадамдардын бирин телефондо аткаруу мүмкүн болбосо, талап — архитектура суроосу, firewall жөндөөсү эмес. Саясатты өзүңүз көзөмөлдөгөн түзмөк менен өзүңүз көзөмөлдөгөн шлюздун ортосунда бөлүү адатта чын жооп, ал эми Android VPN туташуу документтери платформа бир кызматка эмнени уруксат берип, эмнени бербей турганын тастыктай турган жер.