Eng App an OpenVPN ugeklickt? D'Lëscht-Baseline entscheet
Dee selwechten ugeklickte Paket heescht enthält oder ausgeschloss, jee no Baseline vun der Lëscht. Wiel fir d'éischt nëmmen-enthalten, verbann dech nei, a test dann de ganze Workflow.
D'Këscht gesäit wéi déi ganz Entscheedung aus, an op Android ass si et net. Dee selwechten ugeklickten Paket heescht «nëmmen dës App benotzt de VPN» ënner enger nëmmen-enthalten Baseline an «dës App iwwerspréngt de VPN» ënner enger Baseline déi déi Ausgewielten ausschléisst. D'Leit installéieren e Client, fannen eng Lëscht mam Numm Erlaabten Apps, klicken dee eenzege Paket un deen hinne wichteg ass, a ginn mat enger Politik fort déi dat Géigendeel mécht. De Client ze wiesselen hëlleft seele; d'Baseline ze wielen ier s du d'Lëscht uechs, hëlleft.
D'Baseline ass d'Politik, net d'Këscht
Ënner Android sengem VpnService konfiguréiert e Client d'Routing pro App mat addAllowedApplication oder addDisallowedApplication. Déi éischt begrenzt den Tunnel op déi opgezielt Paketen, déi zweet tunnelt alles ausser hinnen. D'Cliente packen déi zwee an eng UI déi bal identesch ka ausgesinn, an ettlech bezeechnen d'Sektioun no der Lëscht amplaz nom Modus, dofir kann den Titel vun der Sektioun eleng net soen wéi eng Baseline aktiv ass.
Lies de Modus-Kontroll iwwer der Lëscht, net den Titel. Am Upstream OpenVPN for Android Client huet d'Lëscht vun den erlaabten Apps eng nëmmen-enthalten an eng Baseline déi déi Ausgewielten ausschléisst, an e gebrandete Build kann déi zwee anescht formuléieren an trotzdem déiselwecht zwee Verhalen halen. En Screenshot vun engem anere Client, oder vun enger eelerer Versioun vum selwechten, ass kee Beweis iwwer de Modus an deem s du bass.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Déi Tabell ass de ganze Mythos. D'App uklikken ass eng Ausso iwwer ee Paket; d'Baseline entscheet ob d'Ausso «enthält se» oder «schléiss se aus» ass.
Wiel de Modus, dann de Paket
Schaff an dëser Reiefolleg, well eng Auswiel déi ënner enger Baseline gemaach gouf eng Ännerung vum Modus iwwerstoe kann an hirem Effekt stomm ëmdréit:
- Identifizéier de richtegen Paket a feststellen ob et d'Kopie vum perséinlechen oder vum Aarbechtsprofil ass.
- Maach d'Astellunge fir d'App-Auswiel vum genee dee VPN-Profil op dee s du verbënns op.
- Setz d'Baseline där hire Sënn «nëmmen déi ausgewielten Apps benotzen de VPN» ass.
- Enthält de gewënschten Paket a loos onzoustand Apps aus dem Set.
- Verbonn dech nei, sou datt de Client d'Interface mat der neier Lëscht nei baut.
De Profil ass grad esou wichteg wéi de Paket. E Client ka verschidde Profiler halen, an d'Auswiel pro App gehéiert zu deem deen s du wierklech verbënns; en Profil deen s du ni benotzs z'änneren ännert näischt. Op engem verwalteten Apparat ass den Aarbechtsprofil en eegene Benotzer mat senger eegener Kopie vun der App a senger eegener Politik, dofir seet d'Tatsaach datt d'perséinlech Instanz am Tunnel ass näischt iwwer d'Aarbechtsinstanz.
Verbonn dech nei ier s du d'Resultat beurteels
VpnService liest d'App-Lëschten wann den Tunnel-Interface opgeriicht gëtt. En Tunnel dee leeft iwwerhëlt net onbedéngt eng Ännerung vun der Lëscht, an d'Cliente ënnerscheede sech doranner ob se automatesch nei bauen oder waarden bis s du déi trenns an erëm verbënns.
Wann d'Ännerung schéngt näischt ze maachen, test d'Neiverbindung ier s du d'Lëscht a Fro stellen. Da maach eng nei Ufro amplaz eng Säit nei ze lueden déi schonn op war: eng App déi eng etabléiert Verbindung hält ass e schlecht Testobjekt, an d'Resultat dat s du gesäis kann zu der aler Interface gehéieren.
Däi Workflow kann d'App verloossen
Eng App kann un e Browser fir d'Aloggen, un e Dokument-Viewer oder un en Deel-Zil iwwerginn. Ënner enger nëmmen-enthalten Baseline sinn déi Hëllefer ausserhalb vum Tunnel, dofir kann e Workflow op der Hallschent feelen och wann déi éischt App richteg konfiguréiert war. Enthält den Hëllefer nëmme wann de Workflow hien wierklech brauch, a füüg en bewosst dobäi amplaz en während enger Demo ze entdecken.
D'Auswiel pro App ersetzt och net d'Routing-Politik vun der Verbindung selwer. De Profil muss nach ëmmer d'Zilpräfixer an d'Adressfamilljen droen déi d'App benotzt, an de Gateway muss nach ëmmer de Service erlaben. Eng richteg opgezielt App mat engem onereechbare Zil gesäit aus wéi eng falsch konfiguréiert Lëscht.
Test béid Säiten, dann schreif d'Politik op
Test eng nei Ufro an der enthale App an eng an enger App déi bausse soll bleiwen. Vergläich d'Exit-Adress an den Zougang zu enger privater Ressource, a widderhuel no enger Neiverbindung. Wann deng Organisatioun Android seng Politik fir Verbindungen ouni VPN ze blockéieren benotzt, ka eng ausgeschlossen App glat blockéiert ginn amplaz direkt ze goen; dat ass d'Politik déi schafft, net e Feeler dee s du ëmgoe solls.
Halt de Modus fest, d'Paketnimm mat hirem Profil, wéi eng Apps ëmgoe sollen, wéi eng Adressfamilljen den Tunnel dréit, a wat soll geschéien wann den Tunnel down ass. Wann de Client de Workflow net propper ausdrécke kann, wiel e méi breede genesemten App-Set oder eng Politik vum verwaltete Profil amplaz um root-Niveau Firewall-Reegele z'änneren, wat net Deel vun Android senger ënnerstëtzter Mechanik pro App ass.