Zwee VPN op engem Telefon: d’Anuerdnung wielen, net d’Zuel vun den Appen

Zwee VPN ze benotzen ass net eng eenzeg Ufro. Et kann heeschen, zwou Organisatiounen eng no der anerer z’erreechen, Aarbechts- a privat Appen ausernee ze halen, oder een Tunnel an engem aneren ze bedreiwen. Android behandelt déi dräi Fäll ganz ënnerschiddlech, an d’Zuel vun den VPN-Appen, déi op dem Telefon installéiert sinn, ass net d’Architektur. D’Fro, déi se trennt, ass einfach: mussen zwee Weeër am selwechten Ament fir déi selwecht App existéieren?

Dräi Anuerdnungen, eng Fro

Wann d’Äntwert nee ass, well déi zwou Netzwierker zu verschiddenen Zäite benotzt ginn, wëllt Dir en bewosste Wiessel. Wann d’Äntwert nee ass, well d’Appen selwer getrennt sinn, wëllt Dir eng Profiltrennung, wou all App an deem Kontext sëtzt, deem säin Tunnel gehéiert. Wann d’Äntwert jo ass, an ee Wee deen aneren physikalesch muss droen, wëllt Dir eng Kette, an dat ass déi eenzeg vun den dräi, wou d’Reiefolleg Deel vum Entworf ass.

Alles anescht folgt aus dëser Wiel. De Wiessel huet eng Iwwergangsfënster, d’Trennung huet eng Politiksgrenz, an eng Kette huet en Zousazkost an en Ofhängegkeetskost. Déi falsch ze wielen schléit net propper fehl; et entsteet en Telefon, deen ugeschloss ausgesäit, an eng App, déi néierens ukommt.

Wiesselen an engem eenzegen Notzerkontext

Android erlaabt een aktive VPN-Service pro Notzer. Eng zweet VPN-App am selwechten Kontext ze starten ersetzt déi éischt oder gëtt gläich ofgelehnt; si setzt ni déi zwee Routensätz zesummen, an et stackt sécherlech net hir Verschlësselung. An engem Notzer sinn zwee Tunnelen eng Reiefolleg, keng Zomm.

Dat ass praktikabel, wann den Zougang wierklech sequenziell ass. Gitt de Profiler Nimm, sou datt den aktiven evident ass, fäerdeg alles Sensibelt, ier Dir wiesselt, a rechent mat enger kuerzer Fënster, wou kee vun deenen zwee Weeër vollstänneg opgebaut ass. En Browser-Tab zoumaachen ass net d’selwecht wéi eng Sessioun ze beenden: den Tab kann säi Kontstatus behalen an einfach déi nächst Ufro iwwer dat nei gewielten Netzwierk schécken, an dat ass genee de Lach, deen d’Leit duerno bemierken.

Wat de Wiessel Iech net ka ginn, ass eng Maschinn, déi gläichzäiteg op béide Netzwierker ass. Wann eng App eng privat Adress vun all Säit brauch, wäert keng Client-Disziplin se produzéieren.

Trennung no Profil

En verwaltete Aarbechtsprofil ass en eegene Notzer mat sengen eegenen Appen, sengem Schlësselspäicher a senger Netzwierkpolitik. En Aarbechtsmail-Client ka mam Tunnel vun der Organisatioun schaffen, während e private Browser e private benotzt, a béid kënnen zur selwechter Zäit verbonne sinn, well se net am selwechten Kontext ëm de Platz konkurréieren.

D’Trennung ass och d’Grenz. De private Browser léint sech den Aarbechtstunnel net, gesäit d’Aarbechts-DNS-Suffixen net an erreecht d’Aarbechtsnetz net just well béid Servicer als verbonne gewisen ginn. Wann een mëldt, datt e Link net opgeet, iwwerpréift wéi eng Kopie vun der App sech drëm gekëmmert huet a wéi ee Profil dee Kont besëtzt, ier Dir ee vun den zwee VPNen ufasst.

Behandelt d’Grenz als fix. En zweete Profil ze schafen oder en Aarbechtsprofil ze läschen, fir d’Routingentscheedung vun engem Patron z’ëmgoen, zerstéiert genee déi Trennung, déi d’Anuerdnung funktionéiere gelooss huet, an op engem verwalteten Apparat ass dat meeschtens eng Politikverletzung an net eng Konfiguratiounsännerung.

Eng Kette, wou d’Reiefolleg den Entworf ass

Eng Kette ass d’Anuerdnung, déi d’Leit normalerweis mengen, wa se béides gläichzäiteg soen: den Tunnel vum Telefon reest am Tunnel vum Router. Et ka funktionéieren, an d’Einschränkungen si spezifesch. Den baussenzege Fournisseur muss e funktionéierende Wee bis zum VPN-Endpunkt vum Telefon erlaben, wat fir UDP-baséiert Protokoller heescht, datt de baussenzege Service deen Traffic net dierf blockéieren oder drosselen.

Verstitt, wien wat gesäit. Den baussenzege Fournisseur gesäit eng Verbindung Richtung bannenzege Endpunkt. Den bannenzege Fournisseur kritt den Traffic vum Telefon vum baussenzegen Ausgang a leet en weider. Den endgültegen Destinatioun gesäit normalerweis den Ausgang vum bannenzege Service, an keen Fournisseur laanscht d’Kette ass blann; App-Konten identifizéieren de Notzer weider onofhängeg vum Wee.

Rechent mat praktesche Käschten. All Schicht bäisetzt Kapselung, sou datt déi effektiv MTU fällt an en Wäert, deen fir een Tunnel gutt war, elo fragmentéiert oder stockt, bis d’MTU vum bannenzege Tunnel konservativ gesat gëtt. Zwou Schichte bedeiten och zwou Feelerofhängegkeeten an zwee Sätz Keepalive-Noriichten, an en TCP-baséierten bannenzege Tunnel iwwer eng verlustbehafteten baussenzeg Streck ka stocken op eng Manéier, déi wéi en doudege Server ausgesäit.

Am wichtegsten: eng Kette fusionéiert net zwee privat Netzwierker. Routen, iwwerlappend Prefixen, DNS-Opléisung an Zougangsregele bleiwen getrennt Entscheedungen, an e Router, deen een VPN dréit, während en Telefon en aneren dréit, gëtt dem Telefon net béid Adressraim.

Iwwerpréift den Entworf, éier Dir en debuggt

Schreift d’Anuerdnung an engem Saz op a testet se géint d’App, déi versot huet. Sequenzielle Zougang sollt een Tunnel gläichzäiteg weisen; d’Profiltrennung sollt all App an hirem eegene Notzer weisen; eng Kette sollt weisen, datt den bannenzege Tunnel sech iwwer eng baussenzeg Interface opbaut an net iwwer déi physikalesch.

adb shell ip -br addr
adb shell ip route get 10.20.0.8
adb shell dumpsys connectivity | grep -i vpn

Wann d’Routensich de physikaleschen Interface nennt, während eng App den Tunnel erwaart, sinn den Entworf an den App-Kontext net eens, an keng zousätzlech VPN-App wäert se versöhnen. D’Dokumentatioun iwwer verwaltet Profiler deckt d’Trennungsreegele of, wann Dir de Politikdetail an net de Routingdetail braucht.