Android वर IKEv2 VPN प्रोफाइल प्रति-वापरकर्ता असतात, प्रति-डिव्हाइस नाही

Android वर बिल्ट-इन VPN हा शब्द असंबद्ध दोन गोष्टी एकत्र करतो: प्लॅटफॉर्म तुमच्या वतीने चालवत असलेली प्रोटोकॉल अंमलबजावणी, आणि उत्पादकाने कोणते सेटिंग्जचे स्वरूप उघड करायचे ठरवले ते. हे एकच वस्तू नाहीत, आणि दोन्हीपैकी कोणतेही हमी देत नाही की टनेल त्या वापरकर्त्याचे आहे ज्याच्या अ‍ॅप्सना ती हवी आहे. प्रोव्हिजनिंग विशिष्ट वापरकर्त्यात विशिष्ट कॉलिंग पॅकेजसह होते, आणि पुढील सर्व गोष्टी तोच संदर्भ वारसाहक्काने घेतात. सेटिंग्जची स्क्रीन पाहण्यापूर्वी मालकीची साखळी वाचा.

प्लॅटफॉर्म तुमच्यासाठी काय तयार करते

Android 11 पासून प्लॅटफॉर्म VpnManager द्वारे VPN प्रोव्हिजनिंग उघड करते. मंजूर अ‍ॅप IKEv2 प्रोफाइल वर्णन करते, आणि प्लॅटफॉर्म स्वतः IPsec आणि IKE देवाणघेवाण चालवते, त्यामुळे अ‍ॅप पॅकेटला कधीही स्पर्श करत नाही. स्वतःचे VPN अ‍ॅप जे VpnService लागू करते आणि स्वतःच्या प्रोसेसमध्ये टनेल बांधते, त्यापासून हा अर्थपूर्ण फरक आहे.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

वरचे कॉल कॉपी-पेस्ट ब्लॉक नसून आकाराचे रेखाटन आहे: बिल्डरकडे प्रमाणीकरणाचे अनेक प्रकार आहेत, ते API स्तरानुसार वेगळे आहेत, आणि प्रोफाइलमध्ये सर्व्हर प्रमाणपत्राची विश्वास सामग्रीही असते. मालकीच्या प्रश्नासाठी महत्त्वाची गोष्ट वाक्यरचनेपेक्षा अरुंद आहे.

या रचनेतून दोन गुणधर्म निघतात. प्रोफाइल म्हणजे डेटा, म्हणून तो हाताने टाइप करण्याऐवजी प्रशासकाद्वारे प्रोव्हिजन केला जाऊ शकतो. आणि टनेल प्लॅटफॉर्मचे नेटवर्क असल्याने अ‍ॅप्लिकेशन्सना ते दुसऱ्या अ‍ॅपचे सॉकेट नव्हे तर VPN वाहतूक असलेले नेटवर्क म्हणून दिसते.

मालकी आधी वापरकर्ता, नंतर पॅकेज

Android मधील मल्टी-यूजर हे खरे विभाजन आहे, केवळ लेबल नाही. वर्क प्रोफाइल हा स्वतंत्र वापरकर्ता आहे ज्याची स्वतःची स्थापित पॅकेजेस, स्वतःचा अ‍ॅप डेटा, स्वतःचा कीस्टोअर आणि स्वतःचे विश्वास अँकर आहेत. दोन्ही ठिकाणी स्थापित केलेले एकच उत्पादन हे वेगवेगळ्या वापरकर्ता आयडी असलेली दोन उदाहरणे आहेत, जरी लाँचर चिन्हे आणि उत्पादनाची नावे सारखीच असली तरी.

प्रोव्हिजनिंग त्या वापरकर्त्यातील कॉलिंग पॅकेजसाठी नोंदवले जाते. म्हणून वैयक्तिक प्रोफाइलमध्ये चालणारे अ‍ॅप वैयक्तिक टनेल तयार करते, आणि वर्क प्रोफाइलमधील वर्क अ‍ॅप्सना त्याचे काहीही दिसत नाही. उलटेही खरे आहे, म्हणूनच स्पष्ट धोरणाने अन्यथा सांगितल्याशिवाय वर्क-प्रोफाइल टनेल वैयक्तिक अ‍ॅप्सना अदृश्य असते.

डिव्हाइस पॉलिसी कंट्रोलर व्यवस्थापित प्रोफाइलच्या वतीने प्रोव्हिजन करू शकतो, आणि म्हणूनच कार्यालयात कोणालाही आठवत नसलेली नोंद दिसते. तुम्ही फोनचे ऑडिट करत असाल, तर करड्या रंगाच्या प्रोफाइलचा हा संभाव्य मालक आहे, आणि प्रयोग म्हणून तो हटवणे तुमचे काम नाही.

पॅकेट हलण्यापूर्वीचे तीन दरवाजे

पहिला दरवाजा अधिकार आहे: व्यवस्थापनाने VPN ला मुळात परवानगी द्यावी लागते, आणि काही तैनाती त्याच्या अस्तित्वाबरोबरच त्याचा प्रकारही मर्यादित करतात. दुसरा ओळख आहे: क्लायंट प्रमाणपत्र किंवा क्रेडेन्शियल्स प्रोफाइलच्या मालक वापरकर्त्यात उपलब्ध असावीत, कारण वैयक्तिक कीस्टोअरमध्ये आयात केलेले प्रमाणपत्र वर्क प्रोफाइलला दिसत नाही.

तिसरा संमती आणि धोरण आहे. वापरकर्ता सहसा पहिल्यांदा वापरताना कनेक्शनला मान्यता देतो, आणि प्रशासक त्याला नेहमी-चालू म्हणून पिन करू शकतो, हवे तर लॉकडाउनसह जेणेकरून रहदारी टनेलबाहेर जाऊ शकणार नाही. हे सेटिंग्ज टनेल बंद असताना काय होते हे ठरवतात, आणि तोच भाग वापरकर्त्यांच्या लक्षात येतो.

व्याप्ती हे तिन्ही जिथे भेटतात ते ठिकाण आहे. प्रोफाइल गेटवे आणि ओळख ठरवते, तर धोरणाचा थर कोणती अ‍ॅप्लिकेशन्स टनेल वापरू शकतात आणि रहदारी त्यातून सक्तीने जाते का हे ठरवते. म्हणून एकाच गेटवे पत्त्याचे दोन फोन पूर्णपणे वेगळे वागू शकतात.

वैयक्तिक कनेक्शन वर्क अ‍ॅप्सना का झाकत नाही

वर्क अ‍ॅपमधून येणारी रहदारी वर्क वापरकर्त्यात तयार होते, आणि लागू होणारे नेटवर्क धोरण त्या वापरकर्त्यातील असते. वैयक्तिक प्रोफाइलमध्ये उभारलेली टनेल ती वाहून नेते, निर्देशक कितीही निरोगी दिसला तरी. ही एकच गोष्ट बहुतेक त्या तक्रारी स्पष्ट करते जिथे वापरकर्ता VPN जोडले आहे असे शपथ घेतो पण एक विशिष्ट अ‍ॅप तरीही अंतर्गत सेवेपर्यंत पोहोचू शकत नाही.

नावांचे निराकरणही त्याच सीमेचे अनुसरण करते. खाजगी DNS प्रत्यय आणि विश्वास अँकर प्रति-वापरकर्ता असतात, म्हणून वैयक्तिक प्रोफाइलमध्ये निराकरण होणारे अंतर्गत होस्टनाव वर्क प्रोफाइलमध्ये अयशस्वी होऊ शकते, जरी टनेल सारखीच दिसत असली तरी, कारण रिझॉल्व्हर धोरण आणि CA साठा वेगळ्या वस्तू आहेत.

प्रयोगशाळेच्या फोनवर नाही, खऱ्या नोंदणीवर पडताळा

डिव्हाइसवर आधी नोंदीचा मालक ओळखा: कोणता वापरकर्ता, कोणते पॅकेज, आणि प्रोफाइल प्लॅटफॉर्म प्रोव्हिजनरकडून आले का की स्वतःची VPN सेवा लागू करणाऱ्या अ‍ॅपकडून. नंतर प्रोफाइल अपेक्षित असलेली ओळख त्या वापरकर्त्याच्या कीस्टोअरमध्ये खरोखर आहे का याची पुष्टी करा.

फक्त कनेक्शन नाही, जीवनचक्र तपासा. साइन इन करा, क्रेडेन्शियल स्टोअर अनलॉक करा, संध्याकाळसाठी वर्क प्रोफाइल थांबू द्या, नंतर तो परत आणा आणि टनेल हाताने टॅप न करता परत येते का ते पाहा. तासानंतर बंद होणारे वर्क प्रोफाइल आपली टनेलही सोबत घेऊन जाते, आणि अपेक्षित अनुपलब्ध स्थिती लिहून ठेवली असेल तर ते दोष नव्हे तर अपेक्षित वर्तन आहे.

शेवटी वर्क अ‍ॅपचीच ज्ञात अंतर्गत एंडपॉइंटविरुद्ध चाचणी करा आणि वैयक्तिक प्रोफाइलच्या निकालाशी तुलना करा. दोन्ही वेगळे असू शकतात; जे वेगळे असता कामा नये ते म्हणजे मालकीचे प्रतिरूप. टनेल चुकीच्या वापरकर्त्याचे असेल, तर प्रमाणपत्र कितीही वेळा पुन्हा जारी केले तरी ते सुटणार नाही.

लपलेल्या सेटिंग्ज अ‍ॅक्टिव्हिटी सुरू करून मेनू उघड करून समस्या सोडवण्याचा प्रयत्न करू नका, आणि कनेक्शन दिसावे म्हणून प्रोफाइलमध्ये खाजगी की कॉपी करू नका. VpnManager संदर्भ कॉलरला काय प्रोव्हिजन करण्याची परवानगी आहे ते सांगतो; मंजूर मार्गात तुमची स्थिती नसेल, तर तो सेटिंग्जचा प्रश्न नसून प्रशासकाचा निर्णय आहे.