IKEv2-VPN-Profile op Android sinn pro Benotzer, net pro Apparat

Den Ausdrock agebaute VPN ëmfaasst op Android zwou onverbonne Saachen: eng Protokollimplementatioun, déi d’Plattform fir Iech ausféiert, an déi Form vun Astellungen, déi den Hiersteller decidéiert huet ze weisen. Dat sinn net deeselwechte Géigestand, an keen dovun garantéiert, datt den Tunnel zu deem Benotzer gehéiert, deem seng Appen en brauchen. D’Erstelle geschitt an engem bestëmmte Benotzer mat engem bestëmmten opruffende Pak, an alles wat duerno kënnt, ierft dee Kontext. Liest d’Eegentumskette virum Astellungsbildschierm.

Wat d’Plattform fir Iech baut

Zënter Android 11 weist d’Plattform d’Erstelle vu VPN iwwer VpnManager. Eng genehmegt App beschreift en IKEv2-Profil, an d’Plattform féiert den IPsec- an IKE-Austausch selwer aus, sou datt d’App ni Pakke beréiert. Dat ass den entscheedende Ënnerscheed zu enger eegener VPN-App, déi VpnService implementéiert an den Tunnel an hirem eegene Prozess baut.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

Den Opruff uewendriwwer ass eng Skizz vun der Form, kee Block fir ze kopéieren: de Builder huet méi Authentifikatiounsvarianten, si ënnerscheede sech no API-Niveau, an de Profil dréit och d’Vertrauensmaterial vum Serverzertifikat. Fir d’Eegentumsfro ass dat Wichtegst schmeler wéi d’Syntax.

Aus dësem Design follegen zwou Eegenschaften. De Profil sinn Daten, dofir kann en Administrateur en erstellen, amplaz en vun Hand ze tippen. An den Tunnel ass e Plattformnetz, dofir gesinn Appen en als Netz mat VPN-Transport an net als Socket vun enger anerer App.

Den Eegentum ass de Benotzer, duerno de Pak

De Multi-Benotzer vu Android ass richteg Trennung, keen Etikett. En Aarbechtsprofil ass en eegene Benotzer mat sengen installéierte Päck, sengen Appdaten, senger Schlësselspäicher a sengen Vertrauensankeren. Datselwecht Produkt op béide Plazen sinn zwee Exemplare mat ënnerschiddlechen Benotzeridentifikatoren, och wann d’Ikonen an d’Produktnimm identesch sinn.

D’Erstelle gëtt géint den opruffende Pak an deem Benotzer registréiert. Dofir erstellt eng Erstellungs-App am perséinleche Profil en perséinlechen Tunnel, an d’Aarbechtsappen am Aarbechtsprofil gesinn dovun näischt. Ëmgekéiert gëllt et och, dofir ass en Aarbechtsprofil-Tunnel fir perséinlech Appen onsiichtbar, ouni eng ausdrécklech Politik déi anescht seet.

En Apparatpolitik-Controller kann am Numm vun engem geréierten Profil erstellen, wat den Andrag erkläert, un deen am Büro kee sech erënnert erstallt ze hunn. Wann dir en Telefon audit, ass hien dee warscheinlechen Eegentümer vun engem groe Profil, an et ass net Är Saach, en als Experiment ze läschen.

Dräi Paarten ier e Pak sech beweegt

Déi éischt Paart ass d’Autoritéit: d’Gestioun muss VPN iwwerhaapt erlaben, an e puer Deploiementer beschränken den Typ souwéi d’Existenz. Déi zweet ass d’Identitéit: de Clientzertifikat oder d’Accreditioune mussen an deem Benotzer verfügbar sinn, deem de Profil gehéiert, well en Zertifikat, deen an de perséinleche Schlësselspäicher importéiert gouf, fir den Aarbechtsprofil net siichtbar ass.

Déi drëtt ass Zoustëmmung a Politik. De Benotzer approuvéiert d’Verbindung normalerweis beim éischte Gebrauch, an en Administrateur kann se zousätzlech als ëmmer-un festpinnen, optional mat Spär, sou datt den Trafik net aus dem Tunnel eraus kann. Déi Astellungen entscheeden, wat geschitt wann den Tunnel fält, an dat ass den Deel deen d’Leit bemierken.

Den Ëmfang ass de Punkt wou déi dräi sech treffen. De Profil bestëmmt de Gateway an d’Identitéit, wärend d’Politikschicht entscheet, wéi eng Appen den Tunnel däerfen notzen an ob den Trafik duerch en gezwongen gëtt. Dofir kënnen zwee Telefonen mat identeschen Gateway-Adressen sech ganz ënnerschiddlech behuelen.

Firwat eng perséinlech Verbindung Aarbechtsappen net deckt

Den Trafik vun enger Aarbechtsapp entsteet am Aarbechtsbenotzer, an déi gëlteg Netzpolitik ass déi an deem Benotzer. En Tunnel, deen am perséinleche Profil opgeriicht gouf, dréit en net, wéi gesond den Indikator och ausgesäit. Déi eenzeg Tatsaach erkläert déi meescht Berichter, wou de Benotzer schwierft datt de VPN verbonnen ass an eng bestëmmten App awer keen internen Déngscht erreecht.

D’Nimmopléisung follegt déiselwecht Grenz. Privat DNS-Suffixer an Vertrauensankeren sinn pro Benotzer, dofir kann en internen Hostnumm, deen am perséinleche Profil opgeléist gëtt, am Aarbechtsprofil feelen, och mat engem gläichwäerteg ausgesäiten Tunnel, well d’Politik vum Resolver an de CA-Späicher verschidde Géigestänn sinn.

Verifizéiert op enger richteger Inscriptioun, net op engem Labortelefon

Um Apparat, identifizéiert d’Éischt den Eegentümer vum Andrag: wéi ee Benotzer, wéi ee Pak, an ob de Profil vum Plattform-Ersteller oder vun enger App mat hirem eegene VPN-Déngscht kënnt. Bestätegt duerno, datt d’Identitéit, déi de Profil erwaart, wierklech am Schlësselspäicher vun deem Benotzer ass.

Test de Liewenszyklus, net just d’Verbindung. Loggt Iech an, maacht de Schlësselspäicher op, loosst den Aarbechtsprofil fir den Owend pauséieren, bréngt en zréck a préift, ob den Tunnel ouni manuellen Tipp zréckkënnt. En Aarbechtsprofil, deen no den Aarbechtsstonnen ausgeschalt gëtt, hëlt säin Tunnel mat, an dat ass erwaart Verhalen an net e Feeler, soulaang deen erwaarten ondisponibelen Zoustand opgeschriwwen ass.

Schlussendlech test d’Aarbechtsapp selwer géint en bekannten internen Endpunkt a vergläicht et mam Resultat vum perséinleche Profil. Déi zwee däerfen sech ënnerscheeden; wat sech net däerf ënnerscheeden ass d’Eegentumsmodell. Wann den Tunnel zum falsche Benotzer gehéiert, hëlleft keng Nei-Ausstellung vu Zertifikaten.

Erzwéngt d’Saach net, andeems dir verstoppte Astellungsaktivitéiten start, fir e Menü ze weisen, a kopéiert keng privat Schlësselen tëschend de Profiler, fir datt eng Verbindung erschéngt. D’VpnManager-Referenz dokumentéiert, wat en Opruffere däerf erstellen; wann den approuvéierte Wee Äre Fall net enthält, ass dat eng Decisioun vum Administrateur an net e Problem vun den Astellungen.