Две VPN на еден телефон: изберете распоред, а не број на апликации

Користењето две VPN не е едно барање. Тоа може да значи достигнување две организации една по друга, одвојување на работните од личните апликации или пуштање еден тунел во друг. Android ги обработува тие три случаи на сосема различни начини, а бројот на инсталирани VPN апликации на телефонот не е архитектурата. Прашањето што ги разделува е едноставно: мора ли два пата да постојат во истиот момент за истата апликација?

Три распореди, едно прашање

Ако одговорот е не, затоа што двете мрежи се користат во различно време, ви треба намерно префрлање. Ако одговорот е не затоа што самите апликации се одвоени, ви треба одвојување профили, каде што секоја апликација стои во контекстот што го поседува нејзиниот тунел. Ако одговорот е да и еден пат мора физички да го носи другиот, ви треба верига, и тоа е единствениот од трите каде што редоследот е дел од решението.

Сѐ друго произлегува од тој избор. Префрлањето има преоден прозорец, одвојувањето има граница на политиката, а веригата има дополнителен трошок и трошок на зависност. Изборот на погрешниот не пропаѓа чисто; тој произведува телефон што изгледа поврзан и апликација што не може да достигне ништо.

Префрлање во еден кориснички контекст

Android дозволува една активна VPN услуга по корисник. Стартувањето втора VPN апликација во истиот контекст ја заменува првата или се отфрла веднаш; таа никогаш не ги составува двете множества рути и сигурно не го натрупува нивното шифрирање. Во еден корисник, два тунела се низа, а не збир.

Тоа е изводливо кога пристапот е навистина последователен. Именувајте ги профилите така што активниот е очигледен, завршете сѐ чувствително пред да префрлите и очекувајте краток прозорец во кој ниту еден од двата пата не е целосно воспоставен. Затворањето јазиче во прелистувачот не е исто што и завршување сесија: јазичето може да ја задржи состојбата на својата сметка и едноставно да го испрати следното барање преку новоизбраната мрежа, и токму тоа е истекувањето што луѓето го забележуваат подоцна.

Она што префрлањето не може да ви го даде е машина што е на двете мрежи истовремено. Ако на апликацијата ѝ треба приватна адреса од секоја страна, никаква дисциплина на клиентот нема да ја произведе.

Одвојување по профил

Управуваниот работен профил е одделен корисник со сопствени апликации, складиште за клучеви и мрежна политика. Работен клиент за пошта може да го користи тунелот на организацијата додека личен прелистувач користи личен, и двата можат да бидат поврзани во исто време затоа што не се во истиот контекст што се натпреварува за местото.

Одвојувањето е и границата. Личниот прелистувач не го позајмува работниот тунел, не ги гледа работните DNS наставки и не доаѓа до работната мрежа само затоа што двете услуги се прикажуваат како поврзани. Кога некој ќе пријави дека врската не се отвора, проверете која копија од апликацијата ја обработила и кој профил ја поседува таа сметка пред да допрете било која од двете VPN.

Третирајте ја границата како фиксна. Создавањето втор профил или отстранувањето работен профил за да се заобиколи одлуката за рутирање на работодавачот го уништува токму одвојувањето што го правеше распоредот функционален, а на управуван уред тоа обично е прекршување на политиката, а не измена на конфигурацијата.

Верига, каде што редоследот е решението

Верига е распоредот што луѓето обично го мислат кога велат двете истовремено: тунелот на телефонот патува внатре во тунелот на рутерот. Тоа може да работи, а ограничувањата се конкретни. Надворешниот давател мора да дозволи работна патека до VPN крајната точка на телефонот, што за протоколи базирани на UDP значи дека надворешната услуга не смее да го блокира или ограничи тој сообраќај.

Разберете кој што гледа. Надворешниот давател гледа врска кон внатрешната крајна точка. Внатрешниот давател го прима сообраќајот на телефонот од надворешниот излез и го препраќа понатаму. Крајната дестинација обично го гледа излезот на внатрешната услуга, и ниту еден давател по веригата не е слеп; сметките на апликациите сѐ уште го идентификуваат корисникот без оглед на патеката.

Очекувајте практични трошоци. Секој слој додава инкапсулација, така што ефективниот MTU паѓа и вредност што беше добра за еден тунел сега се фрагментира или застојува додека MTU на внатрешниот тунел не се постави конзервативно. Два слоја значат и две зависности од дефект и две множества пораки за одржување, а внатрешен тунел базиран на TCP преку надворешна врска со загуби може да застои на начини што изгледаат како мртов сервер.

Најважно, веригата не спојува две приватни мрежи. Рутите, преклопувачките префикси, DNS резолуцијата и правилата за пристап остануваат одделни одлуки, а рутер што носи една VPN додека телефон носи друга не му ги дава на телефонот двата адресни простори.

Проверете го решението пред да го отстранувате дефектот

Запишете го распоредот во една реченица и тестирајте го на апликацијата што не успеа. Последователниот пристап треба да покаже еден тунел истовремено; одвојувањето профили треба да ја покаже секоја апликација во сопствениот корисник; веригата треба да покаже дека внатрешниот тунел се воспоставува преку надворешен интерфејс, а не преку физичкиот.

adb shell ip -br addr
adb shell ip route get 10.20.0.8
adb shell dumpsys connectivity | grep -i vpn

Ако пребарувањето на рутата го именува физичкиот интерфејс додека апликацијата го очекува тунелот, решението и контекстот на апликацијата не се согласуваат, и ниту една дополнителна VPN апликација нема да ги помири. Документацијата за управувани профили ги покрива правилата за одвојување ако ви треба детаљот за политиката, а не за рутирањето.