VPN konfigūravimo blokavimas Android įrenginiuose: diegimo kontrolinis sąrašas

Kažkas prašo jūsų neleisti žmonėms konfigūruoti savo VPN valdomuose Android įrenginiuose. Viliojantis atsakymas – ugniasienės taisyklė, blokuojanti kelis žinomus portus. Šis atsakymas nepaiso, kaip veikia platforma ir kaip programos iš tikrųjų jungiasi.

Palaikoma kontrolė yra valdymo apribojimas jūsų turimame įrenginyje ar profilyje, ir ji turi aiškią taikymo sritį, nuo versijos priklausančią elgseną ir išimtį, kurią turite sąmoningai sukonfigūruoti.

Atlikite penkis patikrinimus žemiau iš eilės. Kiekvienas gali sugriauti planą, todėl sustokite ties pirmuoju, kuris neišlaiko.

1 patikrinimas: nuspręskite, ką reiškia jokio VPN

Už to paties sakinio slypi du reikalavimai. Vienas – joks naudotojas negali susikurti savo VPN. Kitas – gali veikti tik organizacijos patvirtintas VPN. Abu yra teisėti, ir jie duoda skirtingas konfigūracijas, skirtingas palaikymo istorijas ir skirtingus gedimų režimus.

Užsirašykite, kurį iš jų perkate, prieš liesdami bet kurią valdymo pultą. Jei ketinimas yra vienas patvirtintas tunelis visiems, jūs įgyvendinate patvirtintą kelią su draudimu aplink jį; jei ketinimas yra visai jokių tunelių, turite ir sutikti, kad nuotolinės prieigos bei trikčių šalinimo keliai pasikeis.

Suklyskite čia, ir diegimas atrodys veikiantis, o tyliai nukirs VPN, nuo kurio priklauso operacijos; paprastai tai aptinka budintis asmuo nepatogią valandą.

2 patikrinimas: patvirtinkite, kokią teisę iš tikrųjų turite

Android atskleidžia apribojimą per UserManager.DISALLOW_CONFIG_VPN, dokumentuotą UserManager nuorodoje. Jis neleidžia konfigūruoti ir paleisti VPN, ir tai nėra nustatymas, kurį įprasta programa galėtų pritaikyti sau ar kitoms programoms.

Jį taiko įgaliotas administratorius: įrenginio savininkas visam įrenginiui arba profilio savininkas valdomam profiliui, o ta pati teisė prieinama profilio savininkui valdomo profilio viduje. Jei jūsų EMM negali veikti kaip vienas iš jų, šios kontrolės neturite, ir jokia politikos konfigūracija pultoje jos nesukurs.

Taikymo sritis svarbi ne mažiau nei teisė. Darbo profiliui pritaikytas apribojimas valdo tą profilį, o ne to paties telefono asmeninę pusę. Apibūdinti tai kaip kontrolę viskam, ką daro naudotojas, netikslu, ir tai patikrins pirmasis žmogus, kuris įdiegs VPN asmeniniame profilyje ir pamatys, kad jis veikia.

3 patikrinimas: žinokite elgseną pagal versijas

Apribojimas keitėsi tarp versijų, ir skirtumai nulemia, ką jūsų diegimas iš tikrųjų darys įrenginiuose vietoje.

API 31 eilutė yra ta, kuri nustebina žmones diegimo viduryje: tuose įrenginiuose taikymas nėra kosmetinis, jis atjungia tunelį, kuris jau veikė. Planuokite tai kaip matomą įvykį, o ne tylų nustatymų pakeitimą.

API 24 eilutė yra ta, kuri jus gelbsti: savininko sukonfigūruotas nuolatinio ryšio VPN išgyvena apribojimą, ir taip patvirtintas kelias apskritai lieka prieinamas.

4 patikrinimas: palaikykite patvirtintą kelią gyvą

Sukonfigūruokite ir išbandykite organizacijos nuolatinio ryšio VPN prieš taikydami apribojimą, o ne po to. Jei pritaikysite pirmiau, įrenginiai neteks tunelio ir įrankių, kuriais juos diagnozuotumėte, vienu metu.

Aiškiai patikrinkite tris dalykus: kad nuolatinio ryšio VPN kuria savininkas, o ne naudotojas; kad jis paleidžiamas tuose įrenginiuose po pritaikymo; ir kad jis išgyvena perkrovimą. Tunelis, kuris pakyla tik rankiniu būdu, nėra patvirtintas kelias; tai palaikymo bilietų eilė.

Turėkite atkūrimo kelią, kuris nepriklauso nuo to, ar tunelis veikia. Valdymo pultas, vietinis administratoriaus kelias arba už juostos esantis kanalas – visi tinka. Netinka manyti, kad sugedusią politiką galite sutaisyti per tą ryšį, kurį politika ką tik išjungė.

5 patikrinimas: patikrinkite ir tada sąžiningai apibūdinkite ribą

Išbandykite su tikru įrenginiu ir tikra paskyra. Patvirtinkite, kad naudotojas negali pridėti ar paleisti VPN; patvirtinkite, kad patvirtintas tunelis prisijungia ir perduoda srautą; ir patvirtinkite, kad asmeninis profilis elgiasi kaip dokumentuota. Tie trys rezultatai yra priėmimo kriterijai.

Tada būkite atsargūs, ką teigiate. Apribojimas valdo Android VPN galimybę. Jis nepaverčia kiekvieno leidžiamo ryšio tikrinamu protokolu ir netrukdo programai siųsti savo užklausų per aiškų tarpinį serverį. UDP 500, UDP 4500 ir vieno OpenVPN porto blokavimas nėra ta pati kontrolė, nes srautas gali keliauti daugeliu transportų, įskaitant įprastai atrodantį HTTPS.

Jei reikalavimas platesnis nei VPN galimybė, sujunkite tai su programų platinimo politika, paskyrų kontrolėmis ir aplinkai tinkamais tinklo apribojimais. Ir užrašykite, kas lieka už taikymo srities, kad kitame audite niekas nepakartotų dalinio apribojimo kaip visiško.