Нэг утсан дээр хоёр VPN: аппын тоо биш, зохион байгуулалтыг сонго

Хоёр VPN ашиглах нь нэг хүсэлт биш. Энэ нь хоёр байгууллагад нэг нэгнийхээ дараа хүрэх, ажлын болон хувийн аппыг тусгаарлах, эсвэл нэг туннелийг нөгөөгийн дотор ажиллуулахыг илэрхийлж болно. Android эдгээр гурван тохиолдлыг огт өөр аргаар шийддэг бөгөөд утсан дээр суулгасан VPN аппын тоо нь архитектур биш. Тэдгээрийг ялгах асуулт энгийн: нэг аппад зориулж хоёр зам тэр мөчид байх ёстой юу?

Гурван зохион байгуулалт, нэг асуулт

Хоёр сүлжээг өөр өөр цагт ашигладаг учраас хариулт үгүй бол танд зориудын сэлгэлт хэрэгтэй. Аппууд өөрсдөө тусдаа учраас хариулт үгүй бол танд профайл тусгаарлалт хэрэгтэй бөгөөд апп бүр өөрийн туннелийг эзэмшдэг контекстэд суудаг. Хариулт тийм бөгөөд нэг зам нөгөөгөө биечлэн дамжуулах ёстой бол танд гинжин хэлхээ хэрэгтэй бөгөөд гурваас дараалал нь шийдлийн хэсэг болдог цорын ганц нь энэ юм.

Бусад бүхэн энэ сонголтоос гардаг. Сэлгэлтэд шилжилтийн цонх, тусгаарлалтад бодлогын хил, гинжин хэлхээнд нэмэлт зардал болон хамаарлын зардал бий. Бурууг сонгох нь цэвэрхэн бүтэлгүйтдэггүй; энэ нь холбогдсон мэт харагдах утас болон хаана ч хүрэхгүй аппыг бий болгодог.

Нэг хэрэглэгчийн контекст дотор сэлгэх

Android хэрэглэгч бүрт нэг идэвхтэй VPN үйлчилгээг зөвшөөрдөг. Нэг контекст дотор хоёр дахь VPN аппыг эхлүүлэхэд эхнийх нь солигдох эсвэл шууд татгалзагдана; энэ нь хоёр маршрутын багцыг хэзээ ч нэгтгэдэггүй бөгөөд тэдгээрийн шифрлэлтийг давхарладаггүй. Нэг хэрэглэгчийн дотор хоёр туннель нь дараалал, нийлбэр биш.

Хандалт үнэхээр дараалсан үед энэ нь хэрэглэхүйц. Идэвхтэй нь тодорхой байхаар профайлуудыг нэрлэж, сэлгэхийн өмнө мэдрэмтгий бүхнийг дуусгаж, хоёр замын аль нь ч бүрэн тогтоогдоогүй богино цонхыг хүлээ. Хөтчийн табыг хаах нь сессийг дуусгахтай ижил биш: таб өөрийн бүртгэлийн төлөвийг хадгалж, дараагийн хүсэлтийг шинэ сонгосон сүлжээгээр илгээж болох бөгөөд хүмүүсийн дараа анзаардаг алдагдал нь яг энэ юм.

Сэлгэлт танд өгч чадахгүй зүйл бол нэгэн зэрэг хоёр сүлжээнд байх машин. Аппад хоёр талаас хувийн хаяг хэрэгтэй бол ямар ч клиентийн сахилга бат үүнийг бий болгохгүй.

Профайлаар тусгаарлах

Удирдагдах ажлын профайл нь өөрийн апп, түлхүүрийн сан, сүлжээний бодлоготой тусдаа хэрэглэгч. Ажлын имэйл клиент байгууллагын туннелийг ашиглаж болох бол хувийн хөтөч хувийныг ашиглана, хоёулаа нэгэн зэрэг холбогдож болно, учир нь тэд байрны төлөө өрсөлддөг нэг контекстэд биш.

Тусгаарлалт бол хил хязгаар мөн. Хувийн хөтөч ажлын туннелийг зээлдэггүй, ажлын DNS дагавар хэсгүүдийг хардаггүй, хоёр үйлчилгээ холбогдсон харагдаж байгаа учраас л ажлын сүлжээнд хүрдэггүй. Хэн нэгэн холбоос нээгдэхгүй гэж мэдээлэхэд хоёр VPN-ийн аль нэгэнд нь хүрэхийн өмнө аппын аль хуулбар үүнийг шийдсэн, аль профайл тэр бүртгэлийг эзэмшдэгийг шалга.

Хилийг тогтмол гэж үз. Ажил олгогчийн маршрутжуулалтын шийдвэрийг тойрохын тулд хоёр дахь профайл үүсгэх эсвэл ажлын профайлыг устгах нь зохион байгуулалтыг ажиллуулж байсан тусгаарлалтыг өөрөө устгана, удирдагдах төхөөрөмж дээр энэ нь ихэвчлэн тохиргооны өөрчлөлт биш, бодлогын зөрчил.

Дараалал нь шийдэл болох гинжин хэлхээ

Гинжин хэлхээ гэдэг нь хүмүүс хоёуланг нь зэрэг гэж хэлэхдээ ихэвчлэн ойлгодог зохион байгуулалт: утасны туннель маршрутизаторын туннелийн дотор явна. Энэ нь ажиллаж болох бөгөөд хязгаарлалтууд тодорхой. Гадаад үйлчилгээ үзүүлэгч утасны VPN төгсгөлийн цэг хүртэл ажиллах замыг зөвшөөрөх ёстой бөгөөд UDP-д суурилсан протоколуудын хувьд гадаад үйлчилгээ тэр урсгалыг хаах эсвэл хязгаарлах ёсгүй гэсэн үг.

Хэн юу хардагийг ойлго. Гадаад үйлчилгээ үзүүлэгч дотоод төгсгөлийн цэг рүү чиглэсэн холболтыг харна. Дотоод үйлчилгээ үзүүлэгч утасны урсгалыг гадаад гаралтаас хүлээн авч цааш дамжуулна. Эцсийн очих газар ихэвчлэн дотоод үйлчилгээний гаралтыг хардаг бөгөөд гинжин хэлхээний дагуу ямар ч үйлчилгээ үзүүлэгч сохор биш; аппын бүртгэл замналаас үл хамааран хэрэглэгчийг танина.

Практик зардлыг хүлээ. Давхарга бүр инкапсуляци нэмдэг тул үр дүнтэй MTU буурч, нэг туннельд тохиромжтой байсан утга нь дотоод туннелийн MTU-г болгоомжтой тогтоох хүртэл хэсэглэгдэх эсвэл зогсох болно. Хоёр давхарга нь хоёр эвдрэлийн хамаарал, хоёр амьд байлгах мессежийн багц гэсэн үг бөгөөд алдагдалтай гадаад холбоос дээрх TCP-д суурилсан дотоод туннель үхсэн сервер мэт харагдах байдлаар зогсож болно.

Хамгийн чухал нь гинжин хэлхээ хоёр хувийн сүлжээг нэгтгэдэггүй. Маршрут, давхцах префикс, DNS шийдвэрлэлт, хандалтын дүрэм нь тусдаа шийдвэр хэвээр үлддэг бөгөөд нэг VPN зөөж буй маршрутизатор утас нөгөөг зөөж байх үед утсанд хоёр хаягийн орон зайг өгдөггүй.

Алдааг олж засахаас өмнө шийдлийг шалга

Зохион байгуулалтыг нэг өгүүлбэрээр бичээд бүтэлгүйтсэн апп дээр турших. Дараалсан хандалт нэг удаад нэг туннель харуулах ёстой; профайл тусгаарлалт апп бүрийг өөрийн хэрэглэгчид харуулах ёстой; гинжин хэлхээ дотоод туннель физик биш гадаад интерфейс дээгүүр тогтож буйг харуулах ёстой.

adb shell ip -br addr
adb shell ip route get 10.20.0.8
adb shell dumpsys connectivity | grep -i vpn

Апп туннелийг хүлээж байхад маршрутын хайлт физик интерфейсийг нэрлэвэл шийдэл болон аппын контекст санал нийлэхгүй бөгөөд ямар ч нэмэлт VPN апп тэдгээрийг эвлэрүүлэхгүй. Удирдагдах профайлын баримт бичиг тусгаарлалтын дүрмийг хамардаг, хэрэв танд маршрутжуулалт биш бодлогын дэлгэрэнгүй хэрэгтэй бол.