Android’догу IKEv2 VPN профилдери колдонуучуга тиешелүү, түзмөккө эмес

Android’догу курулган VPN деген сөз эки байланышсыз нерсени камтыйт: платформа сиздин атыңыздан иштеткен протокол ишке ашырылышын жана өндүрүүчү көрсөтүүнү чечкен жөндөөлөрдүн формасын. Бул бир объект эмес жана экөө тең туннелдин ага муктаж колдонмолору бар колдонуучуга таандык экенин кепилдебейт. Түзүү белгилүү колдонуучуда белгилүү чакыруучу пакет менен жүрөт, кийинкинин баары ошол контексти мураска алат. Жөндөөлөр экранынан мурун ээлик чынжырын окуңуз.

Платформа сиз үчүн эмне курат

Android 11ден бери платформа VPN түзүүнү VpnManager аркылуу сунуштайт. Бекитилген колдонмо IKEv2 профилин сүрөттөйт, ал эми платформа IPsec жана IKE алмашуусун өзү жүргүзөт, ошондуктан колдонмо пакеттерге эч качан тийбейт. Бул өз VPN колдонмосунан маанилүү айырма, ал VpnService ишке ашырып, туннелди өз процессинде курат.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

Жогорку чакыруу форманын эскизи, көчүрүүчү блок эмес: куруучунун бир нече аутентификация варианты бар, алар API деңгээли боюнча айырмаланат, профиль сервер сертификатынын ишеним материалын да алып жүрөт. Ээлик маселеси үчүн маанилүүсү синтаксистен кууш.

Бул долбоордон эки касиет келип чыгат. Профиль — дайындар, ошондуктан администратор аны кол менен терип отурбастан түзө алат. Ал эми туннель платформанын тармагы, ошондуктан колдонмолор аны VPN ташуусу бар тармак катары көрүшөт, башка колдонмонун сокети катары эмес.

Ээси — колдонуучу, андан кийин пакет

Android’дин көп колдонуучу режими чыныгы бөлүү, белги эмес. Жумуш профили өзүнүн орнотулган пакеттери, колдонмо дайындары, ачкыч кампасы жана ишеним тиректери бар өзүнчө колдонуучу. Эки жерде орнотулган бир продукт ар кандай колдонуучу идентификатору бар эки нуска, белгилер жана аттар бирдей болсо да.

Түзүү ошол колдонуучудагы чакыруучу пакетке каршы жазылат. Ошондуктан жеке профилде иштеген түзүүчү колдонмо жеке туннель түзөт, ал эми жумуш профилиндеги жумуш колдонмолору андан эч нерсе көрүшпөйт. Тескериси да туура, ошондуктан жумуш профилинин туннели жеке колдонмолорго көрүнбөйт, эгер ачык саясат башкача дебесе.

Түзмөк саясатынын контроллери башкарылуучу профилдин атынан түзө алат, бул кеңседе эч ким түзгөнүн эстебеген жазууну түшүндүрөт. Эгер телефонду аудиттеп жатсаңыз, боз профилдин ыктымалдуу ээси — ошол, жана аны тажрыйба катары жок кылуу сиздин ишиңиз эмес.

Пакет кыймылдаардан мурун үч дарбаза

Биринчи дарбаза — ыйгарым укук: башкаруу VPN’ге жалпы уруксат бериши керек, кээ бир жайгаштыруулар бар болушу менен бирге түрүн да чектейт. Экинчиси — инсандык: кардар сертификаты же каттоо маалыматтары профилди ээлеген колдонуучуда болушу керек, анткени жеке кампага импорттолгон сертификат жумуш профилине көрүнбөйт.

Үчүнчүсү — макулдук жана саясат. Колдонуучу адатта биринчи колдонууда байланышты макулдайт, администратор аны дайыма күйүк катары беките алат, кааласа кулпулоо менен трафик туннелден чыга албайт. Бул жөндөөлөр туннель өчкөндө эмне болорун чечет, колдонуучулар байкаган бөлүк — ошол.

Аймак — үчөө кезиккен жер. Профиль шлюз менен инсандыкты аныктайт, ал эми саясат катмары кайсы колдонмолор туннелди колдоно аларын жана трафиктин андан мажбурлап өтөрүн чечет. Ошондуктан шлюз дареги бирдей эки телефон такыр башкача жүрүм-турум көрсөтүшү мүмкүн.

Эмне үчүн жеке байланыш жумуш колдонмолорун камтыбайт

Жумуш колдонмосунун трафиги жумуш колдонуучусунда пайда болот, колдонулуучу тармак саясаты — ошол колдонуучунуку. Жеке профилде түзүлгөн туннель аны ташыбайт, индикатор канчалык соо көрүнсө да. Ушул бир факт колдонуучу VPN туташты деп ант берип, белгилүү колдонмо ички кызматка жете албаган билдирүүлөрдүн көбүн түшүндүрөт.

Аттарды чечүү ошол эле чекти ээрчийт. Жеке DNS уландылары жана ишеним тиректери колдонуучуга жараша, ошондуктан жеке профилде чечилген ички хост аты жумуш профилинде ийгиликсиз болушу мүмкүн, эквиваленттүү көрүнгөн туннел менен да, анткени чечүүчү саясаты менен CA кампасы ар башка объектилер.

Реалдуу каттоодо текшериңиз, лабораториялык телефондо эмес

Түзмөктө адегенде жазуунун ээсин аныктаңыз: кайсы колдонуучу, кайсы пакет жана профиль платформа түзүүчүсүнөн беки, же өз VPN кызматы бар колдонмодон. Анан профиль күткөн инсандык ошол колдонуучунун ачкыч кампасында чын эле бар экенин тастыктаңыз.

Жашоо циклин текшериңиз, байланышты гана эмес. Кириңиз, каттоо маалыматтарынын кампасын ачыңыз, жумуш профили кечинде тыныгын алсын, анан кайтарып, туннель кол тийгизбестен кайтабы же жокпу текшериңиз. Жумуш убагынан кийин өчкөн профиль туннелин өзү менен алып кетет, жана бул бузулуу эмес, күтүлгөн жүрүм-турум, эгер күтүлгөн жеткиликсиз абал жазылган болсо.

Акырында жумуш колдонмосунун өзүн белгилүү ички акыркы чекитке каршы сынап, жеке профилдин жыйынтыгы менен салыштырыңыз. Экөө айырмаланышы мүмкүн; айырмаланбашы керек нерсе — ээлик модели. Эгер туннель туура эмес колдонуучуга таандык болсо, сертификаттарды кайра берүү аны оңдобойт.

Менюну ачуу үчүн жашыруун жөндөө иш-аракеттерин баштоо менен маселени күчкө салбаңыз жана байланыш көрүнүшү үчүн профилдердин ортосунда жеке ачкычтарды көчүрбөңүз. VpnManager маалымдамасы чакыруучу эмнени түзө аларын документтештирет; бекитилген жол сиздин учуруңузду камтыбаса, бул администратордун чечими, жөндөө көйгөйү эмес.