VPN konfigurācijas bloķēšana Android ierīcēs: ieviešanas kontrolsaraksts
Izlemiet politiku, apstipriniet faktiskās pilnvaras, pārbaudiet uzvedību atkarībā no versijas un uzturiet apstiprināto pastāvīgās saites ceļu dzīvu pirms piemērošanas.
Kāds lūdz jums neļaut cilvēkiem konfigurēt savu VPN pārvaldītajās Android ierīcēs. Vilinošā atbilde ir ugunsmūra noteikums, kas bloķē dažus pazīstamus portus. Šī atbilde ignorē to, kā darbojas platforma un kā lietotnes faktiski pieslēdzas.
Atbalstītā kontrole ir pārvaldības ierobežojums ierīcē vai profilā, kas jums pieder, un tam ir skaidra tvēruma zona, no versijas atkarīga uzvedība un izņēmums, kas jākonfigurē apzināti.
Veiciet piecas pārbaudes zemāk pēc kārtas. Katra var atcelt plānu, tāpēc apstājieties pie pirmās, kas neiztur.
1. pārbaude: izlemiet, ko nozīmē nekāds VPN
Aiz tā paša teikuma slēpjas divas prasības. Viena ir, ka neviens lietotājs nedrīkst izveidot savu VPN. Otra ir, ka drīkst darboties tikai organizācijas apstiprinātais VPN. Abas ir likumīgas, un tās rada atšķirīgas konfigurācijas, atšķirīgus atbalsta stāstus un atšķirīgus atteices režīmus.
Pierakstiet, kuru no tām jūs pērkat, pirms pieskaraties jebkurai pārvaldības konsolei. Ja nodoms ir viens apstiprināts tunelis visiem, jūs ieviešat apstiprinātu ceļu ar aizliegumu ap to; ja nodoms ir vispār nekādu tuneļu, jums jāpieņem arī tas, ka mainīsies attālinātās piekļuves un problēmu novēršanas ceļi.
Kļūdieties šeit, un ieviešana izskatīsies strādājoša, kamēr klusi nogriezīs VPN, no kura atkarīga darbība; to parasti atklāj dežurējošais darbinieks neērtā stundā.
2. pārbaude: apstipriniet pilnvaras, kas jums patiešām ir
Android atklāj ierobežojumu caur UserManager.DISALLOW_CONFIG_VPN, kas dokumentēts UserManager atsaucē. Tas neļauj konfigurēt un palaist VPN, un tas nav iestatījums, ko parasta lietotne varētu piemērot sev vai citām lietotnēm.
To piemēro pilnvarots administrators: ierīces īpašnieks visai ierīcei vai profila īpašnieks pārvaldītajam profilam, un tās pašas pilnvaras ir pieejamas profila īpašniekam pārvaldītā profila iekšienē. Ja jūsu EMM nevar darboties kā viens no tiem, jums šīs kontroles nav, un neviena politiku konfigurācija konsolē to neradīs.
Tvērums ir tikpat svarīgs kā pilnvaras. Darba profilam piemērots ierobežojums pārvalda šo profilu, nevis tā paša tālruņa personīgo pusi. To aprakstīt kā kontroli pār visu, ko lietotājs dara, ir neprecīzi, un to pārbaudīs pirmais cilvēks, kurš personīgajā profilā instalēs VPN un atklās, ka tas strādā.
3. pārbaude: ziniet uzvedību atkarībā no versijas
Ierobežojums ir mainījies starp laidieniem, un atšķirības nosaka, ko jūsu ieviešana patiešām darīs ierīcēs uz vietas.
| Platformas robeža | Dokumentētā uzvedība |
|---|---|
| Ierīces vai profila īpašnieks | Ierobežojumu var piemērot saskaņā ar šī īpašnieka pilnvarām |
| API 24 un jaunākas | Pastāvīgās saites VPN, ko konfigurējis ierīces vai profila īpašnieks, sistēma joprojām palaiž |
| API 31 un jaunākas | Ierobežojuma ieslēgšana atvieno VPN, ko lietotājs jau bija palaidis |
API 31 rinda ir tā, kas pārsteidz cilvēkus ieviešanas vidū: šajās ierīcēs piemērošana nav kosmētiska, tā atvieno tuneli, kas jau darbojās. Plānojiet to kā redzamu notikumu, nevis klusu iestatījumu maiņu.
API 24 rinda ir tā, kas jūs glābj: īpašnieka konfigurēts pastāvīgās saites VPN pārdzīvo ierobežojumu, un tā apstiprinātais ceļš vispār paliek pieejams.
4. pārbaude: uzturiet apstiprināto ceļu dzīvu
Konfigurējiet un pārbaudiet organizācijas pastāvīgās saites VPN pirms ierobežojuma piemērošanas, nevis pēc tam. Ja piemērosit vispirms, ierīces vienlaikus zaudēs tuneli un rīkus, ar kuriem tās diagnosticētu.
Skaidri pārbaudiet trīs lietas: ka pastāvīgās saites VPN izveido īpašnieks, nevis lietotājs; ka tas palaižas šajās ierīcēs pēc piemērošanas; un ka tas pārdzīvo pārstartēšanu. Tunelis, kas paceļas tikai manuāli, nav apstiprināts ceļš; tā ir atbalsta pieteikumu rinda.
Saglabājiet atkopšanas ceļu, kas nav atkarīgs no tā, vai tunelis ir aktīvs. Pārvaldības konsole, vietējais administratora ceļš vai ārpusjoslas kanāls — visi darbojas. Nedarbojas pieņēmums, ka salauztu politiku var salabot caur to savienojumu, kuru politika tikko atslēdza.
5. pārbaude: pārbaudiet un pēc tam godīgi aprakstiet robežu
Pārbaudiet ar īstu ierīci un īstu kontu. Apstipriniet, ka lietotājs nevar pievienot vai palaist VPN; apstipriniet, ka apstiprinātais tunelis pieslēdzas un pārvadā datplūsmu; un apstipriniet, ka personīgais profils joprojām uzvedas kā dokumentēts. Šie trīs rezultāti ir pieņemšanas kritēriji.
Pēc tam esiet uzmanīgi ar to, ko apgalvojat. Ierobežojums pārvalda Android VPN iespēju. Tas nepārvērš katru atļauto savienojumu pārbaudītā protokolā un netraucē lietotnei sūtīt savus pieprasījumus caur skaidru starpniekserveri. UDP 500, UDP 4500 un viena OpenVPN porta bloķēšana nav tā pati kontrole, jo datplūsma var ceļot pa daudziem transportiem, tostarp parastu izskatu HTTPS.
Ja prasība ir plašāka par VPN iespēju, apvienojiet to ar lietotņu izplatīšanas politiku, kontu kontrolēm un videi atbilstošiem tīkla ierobežojumiem. Un pierakstiet, kas paliek ārpus tvēruma, lai nākamajā auditā neviens neatkārtotu daļēju ierobežojumu kā pilnīgu.