VPN асаалттай үед Android галт хананы дүрэм хаана байх ёстой
Зөвхөн нэг VpnService идэвхтэй байж болох тул галт ханын апп болон VPN апп давхарладаггүй. Нэг ажлын хүсэлтийг дагаж, дүрэм бүрийг трафик нь үнэхээр өнгөрдөг газарт байрлуул.
Танд нэг өгүүлбэрийн бодлого байна: энэ апп ажлын үйлчилгээнд хүрч болно, өөр юунд ч үгүй. Дараагийн асуулт бүтээгдэхүүний сонголт мэт харагдах боловч энэ нь байршлын асуулт, учир нь хэрэгжүүлж болох цэг бүр утасны урсгалын өөр хэсгийг хардаг. Гарц нь туннельд орж буй зүйлийг л хардаг. Утасны талын шүүлтүүр нь харах зөвшөөрөлтэй зүйлийг л хардаг. Нэг хүсэлтийг хоёулангаар нь дамжуулбал хариулт тодорхой болно.
Бүтээгдэхүүнээс биш, өгүүлбэрээс эхэл
Ямар ч зүйл сонгохоос өмнө шаардлагыг өргөтгө. Энэ нь багц болон түүний ажиллаж буй профайлыг хэлнэ, учир нь ажлын профайл дахь апп нь хувийн профайл дахь ижил аппаас өөр хэрэглэгч. Энэ нь очих газрыг хэлнэ: хост, порт болон протокол, үйлчилгээний нэр биш. Энэ нь тухайн нэрийг шийдэх DNS замыг хэлнэ, мөн туннель байхгүй үед юу болох ёстойг хэлнэ.
Бичвэл жишээний бодлого дөрвөн мөр: ажлын апп ажлын үйлчилгээнд хүрч болно; өөр юунд ч хүрч болохгүй; бусад апп өөрчлөгдөхгүй; туннельгүй бол ажлын апп шууд замд унахын оронд татгалзагдана. Мөр бүр эзэнтэй бөгөөд бүгд нэг эзэн биш.
Алхам 1: утас өөрөө юуг хэрэгжүүлж чадах вэ
Rootгүй Android галт хана нь ард нь алсын туннель байхгүй ч урсгалыг локалаар барих VpnService юм. Android нь хэрэглэгчийн профайл бүрт нэг идэвхтэй VPN үйлчилгээг зөвшөөрдөг, тиймээс хоёр дахь галт ханын апп эхнийхийн ард холбогдохгүй. Энэ нь түүнийг орлох бөгөөд эхний апп шүүж байсан интерфэйс алга болно.
Тиймээс VPN клиентийн хажууд галт хана суулгах нь хүмүүсийн хүлээдэг хослолыг ховор өгдөг. Галт хана ажиллаж, VPN тасарвал юу ч нэгдээгүй; хоёулаа байраа сольсон. Интерфэйсийг солих нь хамтын ажиллагаа биш, шинж тэмдэг нь нөгөө апп нээгдэх бүрд туннель байнга унах явдал.
Дэмжигдсэн зохицуулалт байдаг: аль хэдийн ашиглаж буй VPN клиентэд суулгасан шүүлтүүр, төхөөрөмжийн бодлогын хянагч эсвэл ажлын профайлаар удирдуулсан платформын хяналт, эсвэл үйлдвэрлэгчийн баримтжуулсан архитектур. Бусад бүхэн апп шинэчлэгдэх бүрд дахин шалгах шаардлагатай туршилт.
Алхам 2: гарц юуг хэрэгжүүлж чадах вэ
Урсгал алслагдсан төгсгөлд тайлагдсаны дараа гарц нь дамжуулагдах пакетуудыг зөвшөөрөгдсөн хаяг, үйлчилгээ эсвэл баталгаажуулсан VPN таних тэмдэгт хязгаарлаж болно. Энэ нь түүгээр гарч буй бүх зүйлд жинхэнэ хэрэгжилт бөгөөд хувийн дэд сүлжээнд нэвтрэхийг хязгаарлах зөв газар.
Үүний авдаггүй зүйл нь энгийн IP пакет бүрт хавсарсан утасны аппын таних тэмдэг. Нэг туннелийн хаягийг хуваалцаж буй хэд хэдэн апп нь дизайн тэдэнд тусдаа хаяг эсвэл тусдаа баталгаажуулсан таних тэмдэг өгөхгүй бол гарцын хувьд нэг субъект. Тиймээс гарц дахь хэрэглэгчийн дүрэм нь утас дахь аппын дүрэм биш, удирдлагын консол юу гэж нэрлэсэн ч.
Алхам 3: хэзээ ч ирдэггүй зүйлийг жагсаа
VPN-ээс хасагдсан апп ойрхон төхөөрөмжтэй холбогдвол гарцад хэзээ ч хүрэхгүй, тиймээс гарцын галт хана хэзээ ч авдаггүй пакетыг татгалзаж чадахгүй. Тасралтын үеийн санамсаргүй шууд зам, локал нэвтрэх сүлжээнд орж буй өртөлтөд мөн адил. Эдгээр нь тодорхойлолтоор локал хил хязгаар.
Эсрэг нь ч үнэн: холболтыг зөвшөөрөх локал дүрэм нь гарцын хувийн сүлжээний ACL-ээр нэвтрэх эрх өгөхгүй. Нэг хүсэлт хоёр хилд нэгэн зэрэг хамаарах боломжтой бөгөөд нэгийг хангах нь нөгөөгийн тухай юу ч хэлэхгүй.
Алхам 4: дүрэм бүрийг замд хуваарил
Ямар нэг зүйлийг тохируулахаас өмнө шийдвэрийг хүснэгтэд хий, учир нь хоосон нүднүүд нь дизайн бүтэлгүйтдэг газар.
| Зам | Хэн хэрэгжүүлж чадах вэ | Сохор цэг |
|---|---|---|
| Ажлын апп ажлын үйлчилгээ рүү, туннель нээлттэй | Хаяг болон үйлчилгээгээр гарцын ACL, нэмээд бусад замд локал хаалт | Гарц аль апп пакетыг илгээснийг харж чадахгүй |
| Ажлын апп бусад очих газар руу, туннель нээлттэй | Аппыг таних локал шүүлтүүр, эсвэл тэдгээр очих газар тэнд хаяглагдсан бол гарц | Локал шүүлтүүр нь идэвхтэй VpnService байх ёстой |
| Туннельгүй ажлын апп | Локал татгалзал, апп шууд зам авахгүйн тулд | Туннель алга болоход шүүлтүүр тэсэх шаардлагатай |
| Ойрхон LAN төхөөрөмж | Зөвхөн локал бодлого | Гарц үүнийг хэзээ ч хардаггүй |
Ажилладаг хэлбэр нь хоёр ажилтай хоёр хил. Аппыг таних локал хил нь утасны зан төлөвийг удирдана, шууд унахыг оролцуулан, гарцын хил нь алсын нөөцийг удирдана. Гарцын тал ажлын үйлчилгээг зөвшөөрч бусад бүх хувийн дэд сүлжээг татгалзаж чадах бол утасны талын бодлого нь апп авах боломжтой шууд замын талаар өөрөө шийднэ.
Алхам 5: тээврийг амьд байлга, дараа нь шалга
Ямар локал бодлого сонгосон ч энэ нь VPN-ийг тогтоож, хадгалж буй тээврийг зөвшөөрөх ёстой. Тэр тээврийг хаах нь утсыг туннельгүй, бодлогогүй үлдээдэг бөгөөд энэ нь юуг ч тууштай хэрэгжүүлэхгүй, оношлоход хэцүү, учир нь апп сүлжээгүй болсон байна.
Дараа нь ерөнхий сэтгэгдэл биш, анхны өгүүлбэрийн мөр бүрийг шалга: ажлын апп ажлын үйлчилгээнд хүрнэ, ижил апп өөр очих газарт татгалзагдана, ажил биш апп урьдын адил ажиллана, туннель зогсоосон үед ажлын апп шууд холболт руу унахгүй. DNS замыг тусад нь шалга, учир нь хувийн DNS эсвэл шифрлэсэн шийдэгч зөвхөн хаяг шалгадаг шүүлтүүрийг тойрч болно.
Эдгээр алхмын нэгийг утсан дээр биелүүлж чадахгүй бол шаардлага нь архитектурын асуулт, галт ханын тохиргоо биш. Бодлогыг өөрийн хянадаг төхөөрөмж болон өөрийн хянадаг гарцын хооронд хуваах нь ихэвчлэн шударга хариулт бөгөөд Android VPN холболтын баримт бичиг нь платформ нэг үйлчилгээнд юуг зөвшөөрч, юуг зөвшөөрөхгүйг баталгаажуулах газар.