Android дээр IKEv2 VPN профайл нь төхөөрөмж бус, хэрэглэгч тус бүрд хамаарна

Android дээр «суурилагдсан VPN» гэдэг нь хоорондоо холбоогүй хоёр зүйлийг хамардаг: платформ таны өмнөөс ажиллуулдаг протоколын хэрэгжилт, мөн үйлдвэрлэгч ямар тохиргооны хэлбэрийг ил гаргахаар шийдсэн нь. Эдгээр нь нэг объект биш бөгөөд аль нь ч туннель нь апп-ууд нь ашиглах ёстой хэрэглэгчид хамаарна гэдгийг баталгаажуулдаггүй. Тохируулга нь тодорхой хэрэглэгч, тодорхой дуудаж буй багцад хийгддэг ба дараагийн бүх зүйл тэр контекстийг өвлөдөг. Тохиргооны дэлгэцийг уншихаас өмнө эзэмшлийн гинжийг уншаарай.

Платформ таны төлөө юу бүтээдэг вэ

Android 11-ээс хойш платформ VPN тохируулгыг VpnManager-ээр ил гаргадаг. Зөвшөөрөгдсөн программ IKEv2 профайлыг тодорхойлж, платформ IPsec болон IKE солилцоог өөрөө гүйцэтгэдэг тул программ пакетуудад хэзээ ч хүрдэггүй. Энэ нь VpnService-ийг хэрэгжүүлж, туннелийг өөрийн процесс дотор бүтээдэг өөрийн VPN программээс чухал ялгаа юм.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

Дээрх дуудлага нь хуулж буулгах блок бус, хэлбэрийн тойм зураг юм: бүтээгч хэд хэдэн баталгаажуулалтын хувилбартай, тэдгээр нь API түвшингээр ялгаатай, мөн профайл нь серверийн гэрчилгээний итгэлцлийн материалыг агуулдаг. Эзэмшлийн асуултад чухал зүйл синтаксоос илүү нарийн.

Энэ дизайнаас хоёр шинж чанар гарч ирдэг. Профайл нь өгөгдөл тул гараар бичих бус администратораар тохируулж болно. Мөн туннель нь платформын сүлжээ тул апп-уудад өөр аппын сокет бус, VPN транспорт бүхий сүлжээ хэлбэрээр харагдана.

Эзэмшил нь эхлээд хэрэглэгч, дараа нь багц

Android-ийн олон хэрэглэгч нь шошго бус, жинхэнэ тусгаарлалт юм. Ажлын профайл нь өөрийн суулгасан багц, өөрийн апп өгөгдөл, өөрийн keystore, өөрийн итгэлцлийн зангуутай тусдаа хэрэглэгч юм. Хоёр газарт суулгасан ижил бүтээгдэхүүн нь лаунчерийн дүрс, бүтээгдэхүүний нэр ижил байсан ч өөр хэрэглэгчийн id-тай хоёр хувилбар юм.

Тохируулга нь тэр хэрэглэгч дэх дуудаж буй багцад бүртгэгддэг. Тиймээс хувийн профайлд ажиллаж буй программ хувийн туннель үүсгэдэг ба ажлын профайл дахь ажлын апп-ууд үүнээс юу ч хардаггүй. Эсрэг нь бас үнэн бөгөөд тиймээс ажлын профайлын туннель нь тодорхой бодлогоор өөрөөр заагаагүй бол хувийн апп-уудад үл үзэгдэх юм.

Төхөөрөмжийн бодлогын хянагч нь удирдагдах профайлын өмнөөс тохируулж болох бөгөөд энэ нь оффис дээр хэн ч санахгүй байгаа бичлэгийг тайлбарладаг. Хэрэв та утсыг аудитад хамруулж байгаа бол энэ нь саарал болсон профайлын магадлалтай эзэн бөгөөд туршилт хэлбэрээр устгах нь таны эрх биш.

Пакет хөдлөхөөс өмнөх гурван хаалга

Эхний хаалга бол эрх мэдэл: удирдлага VPN-ийг ер нь зөвшөөрөх ёстой бөгөөд зарим байршуулалт төрлийг нь ч бас хязгаарладаг. Хоёр дахь нь таних мэдээлэл: үйлчлүүлэгчийн гэрчилгээ эсвэл бүртгэлийн мэдээлэл нь профайлыг эзэмшиж буй хэрэглэгчид байх ёстой, учир нь хувийн keystore-д импортолсон гэрчилгээ ажлын профайлд харагдахгүй.

Гурав дахь нь зөвшөөрөл ба бодлого. Хэрэглэгч ихэвчлэн холболтыг анх ашиглах үед зөвшөөрдөг бөгөөд администратор нэмж байнгын ажиллагаатай гэж бэхлэх, сонголтоор түгжээтэй горимтойгоор хийж болох тул трафик туннелиас гадуур гарч чадахгүй. Эдгээр тохиргоо нь туннель унасан үед юу болохыг шийддэг бөгөөд энэ нь хэрэглэгчдийн анзаардаг хэсэг юм.

Хамрах хүрээ бол энэ гурвын уулзвар. Профайл нь гарц ба таних мэдээллийг тодорхойлдог бол бодлогын давхарга нь аль апп-ууд туннелийг ашиглаж болох ба трафикыг түүгээр албадан гаргах эсэхийг шийддэг. Ижил гарцын хаягтай хоёр утас тиймээс огт өөр авирлаж болно.

Хувийн холболт яагаад ажлын апп-уудыг хамардаггүй вэ

Ажлын аппаас гарах трафик нь ажлын хэрэглэгчид үүсдэг ба хэрэгжих сүлжээний бодлого нь тэр хэрэглэгчийн бодлого юм. Хувийн профайлд тогтоосон туннель индикатор хичнээн эрүүл харагдаж байсан ч түүнийг дамжуулдаггүй. Энэ нэг баримт нь хэрэглэгч VPN холбогдсон гэж тангараглан хэлж байгаа ч нэг тодорхой апп дотоод үйлчилгээнд хүрч чадахгүй байгаа ихэнх тохиолдлыг тайлбарладаг.

Нэрийн шийдвэрлэлт ижил хил хязгаарыг дагадаг. Хувийн DNS дагавар болон итгэлцлийн зангуу нь хэрэглэгч тус бүрд хамаарах тул хувийн профайлд шийдэгддэг дотоод хостын нэр ажлын профайлд бүтэлгүйтэж болно, учир нь resolver бодлого болон CA сан нь өөр объектууд юм.

Лабораторийн утсан дээр бус, бодит бүртгэл дээр шалга

Төхөөрөмж дээр эхлээд бичлэгийн эзнийг тодорхойл: аль хэрэглэгч, аль багц, профайл нь платформын тохируулагчаас ирсэн эсэх эсвэл өөрийн VPN үйлчилгээг хэрэгжүүлдэг программээс ирсэн эсэх. Дараа нь профайлын хүлээж буй таних мэдээлэл тэр хэрэглэгчийн keystore-д үнэхээр байгаа эсэхийг батал.

Зөвхөн холболт бус, амьдралын мөчлөгийг турш. Нэвтрэж, итгэмжлэлийн санг тайлж, ажлын профайлыг оройн цагаар түр зогсоож, дараа нь буцааж аваад туннель гараар товшихгүйгээр эргэж ирэх эсэхийг шалга. Цагийн дараа унтардаг ажлын профайл туннелиээ хамт авч явдаг бөгөөд хүлээгдэж буй ажиллагаагүй төлөвийг бичиж тэмдэглэсэн тохиолдолд энэ нь алдаа бус хүлээгдэж буй зан төлөв юм.

Эцэст нь ажлын аппыг өөрөө мэдэгдэж буй дотоод endpoint-ийн эсрэг туршиж, хувийн профайлын үр дүнтэй харьцуул. Хоёулаа ялгаатай байж болно; ялгаатай байж болохгүй зүйл бол эзэмшлийн загвар юм. Хэрэв туннель буруу хэрэглэгчид хамаарч байвал гэрчилгээг хэчнээн дахин олгосон ч засахгүй.

Нуугдсан тохиргооны activity-г эхлүүлж цэс ил гаргаж асуудлыг албадах хэрэггүй, холболт харагдуулахын тулд профайлуудын хооронд хувийн түлхүүр хуулах хэрэггүй. VpnManager-ийн лавлагаа нь дуудагч юу тохируулж болохыг тайлбарладаг; зөвшөөрөгдсөн замд таны тохиолдол багтахгүй бол энэ нь тохиргооны асуудал бус, администраторын шийдвэр юм.