Каде треба да живее правило на Android заштитен ѕид кога VPN е вклучен
Само еден VpnService може да биде активен, затоа апликација за заштитен ѕид и VPN апликација не се наредуваат. Поминете едно работно барање и ставете го секое правило таму каде што неговиот сообраќај навистина минува.
Имате една реченица политика: оваа апликација може да стигне до работната услуга и до ништо друго. Следното прашање изгледа како избор на производ, но е прашање за место, бидејќи секоја можна точка на спроведување гледа различен дел од сообраќајот на телефонот. Портата гледа само што влегува во тунелот. Филтерот на страната на телефонот гледа само што му е дозволено да набљудува. Спроведувањето на едно барање низ двете го прави одговорот очигледен.
Почнете од реченицата, не од производот
Проширете го барањето пред да изберете нешто. Тоа значи пакетот и профилот во кој работи, бидејќи апликација во работниот профил е различен корисник од истата апликација во личниот профил. Тоа значи одредиштето: хост, порта и протокол, а не име на услуга. Тоа значи DNS патеката што го решава тоа име и значи што треба да се случи кога тунелот не е достапен.
Запишана, политиката за примерот има четири реда: работната апликација може да стигне до работната услуга; не може да стигне до ништо друго; другите апликации остануваат непроменети; без тунел работната апликација се одбива наместо да падне на директен пат. Секој ред има сопственик и не сите се истиот сопственик.
Чекор 1: што може да спроведе самиот телефон
Андроид заштитен ѕид без root е VpnService што го фаќа сообраќајот локално, дури и кога зад него нема далечински тунел. Андроид дозволува една активна VPN услуга по кориснички профил, затоа втора апликација за заштитен ѕид не се врзува зад првата. Таа ја заменува и интерфејсот што првата апликација го филтрираше исчезнува.
Затоа инсталирањето заштитен ѕид покрај VPN клиент ретко ја дава комбинацијата што луѓето ја очекуваат. Ако заштитниот ѕид стартува, а VPN се исклучи, ништо не е комбинирано; двете си ги заменија местата. Замената на интерфејс не е соработка, а симптомот е тунел што постојано паѓа секој пат кога ќе се отвори другата апликација.
Поддржани распореди постојат: филтрирање вградено во VPN клиентот што веќе го користите, управувани платформски контроли преку контролер на политики на уред или работен профил, или архитектура што ја документира производителот. Сè друго е експеримент што мора повторно да се провери по секое ажурирање на апликација.
Чекор 2: што може да спроведе портата
Откако сообраќајот ќе се дешифрира на далечниот крај, портата може да ги ограничи препратените пакети на одобрени адреси, услуги или автентификувани VPN идентитети. Тоа е вистинско спроведување за сè што излегува низ него и вистинското место за ограничување на пристапот до приватни подмрежи.
Она што не го добива е идентитетот на апликацијата од телефонот прикачен на секој обичен IP пакет. Неколку апликации што делат една тунелска адреса се еден субјект за портата, освен ако дизајнот им дава одделни адреси или одделни автентификувани идентитети. Затоа правило по корисник на портата не е правило по апликација на телефонот, како и да го нарекува конзолата за управување.
Чекор 3: наведете што никогаш не пристигнува
Апликација исклучена од VPN што контактира блиско уред никогаш не стигнува до портата, затоа излезниот заштитен ѕид не може да одбие пакет што никогаш не го добива. Истото важи за ненамерен директен пат за време на прекин и за влезна изложеност на локалната пристапна мрежа. Тоа се локални граници по дефиниција.
Обратното исто така важи: локално правило што дозволува врска не дава пристап преку ACL на приватната мрежа на портата. Едно барање може да подлежи на двете граници, а задоволувањето на едната не кажува ништо за другата.
Чекор 4: доделете го секое правило на пат
Ставете ја одлуката во табела пред да конфигурирате нешто, бидејќи празните ќелии се местото каде дизајните пропаѓаат.
| Пат | Кој може да го спроведе | Слепа точка |
|---|---|---|
| Работна апликација до работната услуга, тунелот е активен | ACL на портата по адреса и услуга, плус локално блокирање на другите патишта | Портата не гледа која апликација го пратила пакетот |
| Работна апликација до други одредишта, тунелот е активен | Локален филтер што ги познава апликациите, или портата ако тие одредишта се адресирани таму | Локалниот филтер мора да биде активниот VpnService |
| Работна апликација без тунел | Локално одбивање, за да не може апликацијата да земе директен пат | Бара филтерот да го преживее исчезнувањето на тунелот |
| Блиско LAN уред | Само локална политика | Портата никогаш не го гледа |
Работната форма се две граници со две задачи. Локалната граница што ги познава апликациите управува со однесувањето на телефонот, вклучително директното паѓање, а границата на портата управува со далечинските ресурси. Страната на портата може да ја дозволи работната услуга и да ја одбие секоја друга приватна подмрежа, додека политиката на страната на телефонот сама одлучува за директниот пат што апликацијата инаку би го зела.
Чекор 5: одржувајте го транспортот жив, потоа проверете
Која и локална политика да изберете, таа мора да го дозволи транспортот што го воспоставува и одржува VPN. Блокирањето на тој транспорт го остава телефонот без тунел и без политика, што не спроведува ништо доследно и тешко се дијагностицира, бидејќи апликацијата едноставно нема мрежа.
Потоа проверете го секој ред од првобитната реченица, а не општиот впечаток: работната апликација стигнува до работната услуга, истата апликација е одбиена на друго одредиште, апликацијата што не е работна се однесува како порано и со запрен тунел работната апликација не паѓа на директна врска. Проверете ја DNS патеката одделно, бидејќи приватен DNS или шифриран резолвер може да заобиколи филтер што проверува само адреси.
Ако еден од овие чекори не може да се задоволи на телефонот, барањето е прашање на архитектура, а не поставка на заштитен ѕид. Поделбата на политиката меѓу уред што го контролирате и порта што ја контролирате обично е искрениот одговор, а документацијата за Android VPN поврзување е местото каде потврдувате што платформата ќе дозволи и што нема да дозволи на една услуга.