Блокирање на VPN конфигурацијата на Android: контролна листа за распоредување
Одлучете ја политиката, потврдете го овластувањето што го имате, проверете го однесувањето по верзија и одржувајте ја жива одобрената постојана врска пред да го примените.
Некој ве моли да спречите луѓе да конфигурираат сопствен VPN на управувани Android уреди. Примамливиот одговор е правило на firewall што блокира неколку познати порти. Тој одговор го пропушта начинот на кој работи платформата и начинот на кој апликациите навистина се поврзуваат.
Поддржаната контрола е ограничување за управување на уредот или профилот што го поседувате, и има јасен опфат, однесување зависно од верзијата и исклучок што мора свесно да го конфигурирате.
Поминете ги петте проверки подолу по ред. Секоја може да го поништи планот, затоа застанете на првата што не издржува.
Проверка 1: одлучете што значи никаков VPN
Зад истата реченица се кријат два барања. Едното е дека ниту еден корисник не смее да создаде сопствен VPN. Другото е дека смее да работи само одобрениот VPN на организацијата. И двете се легитимни и даваат различни конфигурации, различни истории за поддршка и различни режими на откажување.
Запишете кое од двете го купувате пред да допрете која било конзола за управување. Ако намерата е еден одобрен тунел за сите, внесувате одобрена патека со забрана околу неа; ако намерата е воопшто без тунели, мора да прифатите и дека патеките за далечински пристап и отстранување проблеми ќе се променат.
Згрешете тука и распоредувањето ќе изгледа како да работи, а тивко ќе го отсече VPN-от од кој зависи работата; тоа обично го открива дежурниот во незгоден час.
Проверка 2: потврдете го овластувањето што навистина го имате
Android го изложува ограничувањето преку UserManager.DISALLOW_CONFIG_VPN, документирано во референцата за UserManager. Го спречува конфигурирањето и стартувањето на VPN и не е поставка што обична апликација може да ја примени на себе или на други апликации.
Го применува овластен администратор: сопственик на уредот за целиот уред или сопственик на профилот за управуваниот профил, при што истото овластување е достапно и за сопственик на профил внатре во управуваниот профил. Ако вашиот EMM не може да дејствува како еден од нив, ја немате оваа контрола и никаква конфигурација на политики во конзолата нема да ја создаде.
Опфатот е исто толку важен како овластувањето. Ограничување применето на работен профил управува со тој профил, а не со личната страна на истиот телефон. Да се опише тоа како контрола врз сè што прави корисникот е неточно и ќе го тестира првиот што ќе инсталира VPN во личниот профил и ќе види дека работи.
Проверка 3: знајте го однесувањето по верзија
Ограничувањето се менуваше низ изданијата и разликите одредуваат што вашето распоредување навистина ќе направи на уредите на терен.
| Граница на платформата | Документирано однесување |
|---|---|
| Сопственик на уредот или профилот | Ограничувањето може да се примени под овластувањето на тој сопственик |
| API 24 и подоцна | Постојан VPN што го конфигурирал сопственикот на уредот или профилот сè уште се стартува од системот |
| API 31 и подоцна | Вклучувањето на ограничувањето прекинува VPN што корисникот веќе го стартувал |
Редот за API 31 е оној што ги изненадува луѓето на средина од распоредувањето: на тие уреди примената не е козметичка, таа прекинува тунел што веќе работел. Планирајте го како видлив настан, а не како тивка промена на поставки.
Редот за API 24 е оној што ве спасува: постојан VPN конфигуриран од сопственикот го преживува ограничувањето и така одобрената патека воопшто останува достапна.
Проверка 4: одржувајте ја одобрената патека жива
Конфигурирајте и тестирајте го постојаниот VPN на организацијата пред да го примените ограничувањето, а не потоа. Ако примените прво, уредите го губат тунелот и алатките со кои би ги дијагностицирале истовремено.
Проверете три работи експлицитно: дека постојаниот VPN го создава сопственикот, а не корисникот; дека се стартува на тие уреди по примената; и дека преживува рестарт. Тунел што се крева само рачно не е одобрена патека; тоа е ред за барања за поддршка.
Чувајте патека за обновување што не зависи од тоа дали тунелот е активен. Конзола за управување, локална администраторска патека или канал надвор од опсегот — сите работат. Не работи претпоставката дека можете да поправите расипана политика преку врската што политиката штотуку ја исклучи.
Проверка 5: проверете, а потоа опишете ја границата чесно
Тестирајте со вистински уред и вистинска сметка. Потврдете дека корисникот не може да додаде или стартува VPN; потврдете дека одобрениот тунел се поврзува и пренесува сообраќај; и потврдете дека личниот профил сè уште се однесува како што е документирано. Тие три резултати се критериумите за прифаќање.
Потоа внимавајте што тврдите. Ограничувањето управува со VPN-способноста на Android. Тоа не ја претвора секоја дозволена врска во прегледан протокол и не спречува апликација да ги насочува сопствените барања преку експлицитен прокси. Блокирањето на UDP 500, UDP 4500 и една OpenVPN порта не е истата контрола, бидејќи сообраќајот може да патува низ многу преноси, вклучително обичен на изглед HTTPS.
Ако барањето е пошироко од VPN-способноста, комбинирајте го со политика за дистрибуција на апликации, контроли на сметки и мрежни ограничувања соодветни на околината. И запишете што останува надвор од опфатот, за да не повтори некој делумно ограничување како целосно во следната ревизија.