Wou eng Android-Firewall-Reeg musse liewen, wann eng VPN ugëschalt ass

Dir hutt eng eenzeg Saz-Politik: dës App däerf de Service vun der Aarbecht erreechen, an näischt anescht. Déi nächst Fro gesäit no enger Produktwiel aus, awer et ass eng Fro vum Plaz, well all méiglech Ëmsetzungsstell een aneren Deel vum Verkéier vum Telefon gesäit. De Gateway gesäit just dat, wat an den Tunnel geet. De Filter op der Telefonssäit gesäit just dat, wat e bemierken däerf. Eng Ufro duerch béid lafe loossen, mécht d’Äntwert kloer.

Fänkt mam Saz un, net mam Produkt

Entwéckelt d’Ufuerderung, ier Dir eppes auswielt. Dat heescht de Paket an de Profil, an deem en leeft, well eng App am Aarbechtsprofil en anere Benotzer ass wéi déiselwecht App am perséinleche Profil. Dat heescht den Destinatioun: Host, Port a Protokoll, net en Numm vun engem Service. Dat heescht de DNS-Wee, deen den Numm opléist, an et heescht, wat soll geschéien, wann den Tunnel net disponibel ass.

Opgeschriwwen huet d’Politik vum Beispill véier Zeilen: d’Aarbechtsapp däerf de Service vun der Aarbecht erreechen; se däerf soss näischt erreechen; aner Appen bleiwe onverännert; ouni Tunnel gëtt d’Aarbechtsapp ofgeleent, amplaz op e direkte Wee ze falen. All Zeil huet en Eegentmer, an et sinn net alleguer deeselwechten Eegentmer.

Schrëtt 1: wat den Telefon selwer ëmsetzen kann

Eng Android-Firewall ouni Root ass e VpnService, deen de Verkéier lokal afänkt, och wann hannendrun keen entfernten Tunnel ass. Android erlaabt een aktive VPN-Service pro Benotzerprofil, dofir ketten sech eng zweet Firewall-App net hannert déi éischt. Se ersetzt se, an d’Interface, déi déi éischt App gefiltert huet, verschwënnt.

Dofir gëtt d’Installatioun vun enger Firewall nieft engem VPN-Client selten déi Kombinatioun, déi d’Leit erwaarden. Wann d’Firewall startet an de VPN sech trennt, gouf näischt kombinéiert; déi zwee hu Plaz getosch. Eng Interface ersetzen ass keng Zesummenaarbecht, an d’Symptom ass en Tunnel, deen ëmmer erëm fält, wann déi aner App opgemaach gëtt.

Ënnerstëtzt Opstellungen ginn et: Filterung, déi an den VPN-Client agebaut ass, deen Dir schonn notzt, geréiert Plattformkontrollen duerch en Apparat-Politik-Controller oder en Aarbechtsprofil, oder eng Architektur, déi den Hiersteller dokumentéiert. Alles anescht ass en Experiment, dat no all App-Update nei muss iwwerpréift ginn.

Schrëtt 2: wat de Gateway ëmsetzen kann

Wann de Verkéier um wäiten Enn entschlësselt ass, kann de Gateway déi weidergeleet Paketen op approuvéiert Adressen, Servicer oder authentifizéiert VPN-Identitéiten aschränken. Dat ass richteg Ëmsetzung fir alles, wat do erausgeet, an et ass déi richteg Plaz, fir den Zougang zu private Subnetzer ze begrenzen.

Wat en net kritt, ass d’App-Identitéit vum Telefon, déi un all gewéinleche IP-Paket hänkt. Méi Appen, déi eng Tunneladress deelen, sinn ee Sujet fir de Gateway, ausser den Design gëtt hinnen getrennt Adressen oder getrennt authentifizéiert Identitéiten. Dofir ass eng Reegele pro Benotzer um Gateway keng Reegele pro App um Telefon, wéi d’Verwaltungskonsole se och nennt.

Schrëtt 3: lëscht op, wat ni ukënnt

Eng App, déi vum VPN ausgeschloss ass an en Apparat nobäi kontaktéiert, erreecht de Gateway ni, dofir kann eng Ausgangs-Firewall e Paket net ofleenen, deen se ni kritt. Datselwecht gëllt fir en ongewollten direkte Wee wärend engem Ausfall an fir d’Belaaschtung vun banne op dem lokalen Zougangsnetz. Dat sinn lokal Grenzen per Definitioun.

De Géigendeel ass och richteg: eng lokal Reegele, déi eng Verbindung erlaabt, gëtt keen Zougang duerch d’ACL vum private Netz vum Gateway. Eng Ufro kann ënner béide Grenze falen, an d’Erfülle vun enger seet näischt iwwer déi aner.

Schrëtt 4: gitt all Reegele engem Wee

Maacht d’Entscheedung an eng Tabell, ier Dir eppes konfiguréiert, well déi eidel Zelle sinn dee Punkt, wou Designen duerchfalen.

Déi Form, déi funktionéiert, sinn zwou Grenzen mat zwou Aufgaben. Eng lokal Grenz, déi Appen erkennt, regéiert d’Verhalen vum Telefon, enkeschlësslech dem direkte Falen, an eng Grenz vum Gateway regéiert déi entfernt Ressourcen. D’Säit vum Gateway kann de Service vun der Aarbecht erlaben an all anert private Subnetz ofleenen, während d’Politik op der Telefonssäit selwer iwwer e direkte Wee entscheet, deen d’App soss huele kéint.

Schrëtt 5: haalt den Transport lieweg, da préift

Wéi eng lokal Politik Dir och auswielt, se muss den Transport erlaben, deen de VPN opbaut an hält. Dee Transport blockéieren léisst den Telefon ouni Tunnel an ouni Politik, wat näischt kohärent ëmsetzt an schwéier ze diagnostizéieren ass, well d’App einfach keen Netz huet.

Da préift all Zeil vum urspréngleche Saz amplaz vum Gesamtdrock: d’Aarbechtsapp erreecht de Service vun der Aarbecht, déiselwecht App gëtt op enger anerer Destinatioun ofgeleent, eng App, déi keng Aarbecht ass, verhält sech wéi virdrun, a mat gestopptem Tunnel fält d’Aarbechtsapp net op eng direkt Verbindung. Préift den DNS-Wee getrennt, well private DNS oder en verschlësselte Resolver e Filter ëmgoe kann, deen nëmmen Adressen iwwerpréift.

Wann ee vun dëse Schrëtt um Telefon net ka erfëllt ginn, ass d’Ufuerderung eng Fro vun der Architektur an net eng Firewall-Astellung. D’Politik tëscht engem Apparat, deen Dir kontrolléiert, an engem Gateway, deen Dir kontrolléiert, opzedeelen ass meeschtens déi éierlech Äntwert, an d’Android-Dokumentatioun iwwer VPN-Verbindungen ass d’Plaz, fir ze bestätegen, wat d’Plattform engem eenzege Service erlaabt an net erlaabt.