Profil VPN IKEv2 Android adalah mengikut pengguna, bukan mengikut peranti

Istilah VPN terbina dalam merangkumi dua perkara yang tidak berkaitan pada Android: pelaksanaan protokol yang dijalankan oleh platform bagi pihak anda, dan bentuk tetapan yang pengeluar memutuskan untuk didedahkan. Kedua-duanya bukan objek yang sama, dan tiada satu pun menjamin terowong itu milik pengguna yang aplikasinya memerlukannya. Penyediaan berlaku dalam pengguna tertentu dengan pakej pemanggil tertentu, dan semua yang menyusul mewarisi konteks itu. Baca rantaian pemilikan sebelum anda membaca skrin tetapan.

Apa yang platform bina untuk anda

Sejak Android 11 platform mendedahkan penyediaan VPN melalui VpnManager. Aplikasi yang diluluskan menerangkan profil IKEv2, dan platform menjalankan sendiri pertukaran IPsec dan IKE, jadi aplikasi itu tidak pernah menyentuh paket. Itulah perbezaan bermakna daripada aplikasi VPN tersuai, yang melaksanakan VpnService dan membina terowong dalam prosesnya sendiri.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

Panggilan di atas ialah lakaran bentuk dan bukan blok salin-tampal: pembina itu mempunyai beberapa lebihan beban pengesahan, ia berbeza mengikut aras API, dan profil juga membawa bahan kepercayaan sijil pelayan. Apa yang penting bagi soalan pemilikan lebih sempit daripada sintaks.

Dua sifat menyusul daripada reka bentuk ini. Profil ialah data, jadi ia boleh disediakan oleh pentadbir dan bukan ditaip dengan tangan. Dan terowong ialah rangkaian platform, jadi ia kelihatan kepada aplikasi sebagai rangkaian dengan pengangkutan VPN dan bukan sebagai soket aplikasi lain.

Pemilikan ialah pengguna dahulu, kemudian pakej

Berbilang pengguna Android ialah pemisahan sebenar, bukan label. Profil kerja ialah pengguna berasingan dengan pakej terpasang sendiri, data aplikasi sendiri, keystore sendiri dan penambat kepercayaan sendiri. Produk yang sama dipasang di kedua-dua tempat ialah dua contoh dengan id pengguna berbeza, walaupun ikon pelancar dan nama produk serupa.

Penyediaan direkodkan terhadap pakej pemanggil dalam pengguna itu. Jadi aplikasi penyediaan yang berjalan dalam profil peribadi mencipta terowong peribadi, dan aplikasi kerja dalam profil kerja tidak melihat apa-apa daripadanya. Sebaliknya juga benar, sebab itulah terowong profil kerja tidak kelihatan kepada aplikasi peribadi tanpa dasar eksplisit yang menyatakan sebaliknya.

Pengawal dasar peranti boleh menyediakan bagi pihak profil terurus, dan itu menjelaskan entri yang tiada sesiapa di pejabat ingat menciptanya. Jika anda mengaudit telefon, itulah kemungkinan pemilik profil yang dikelabukan, dan ia bukan milik anda untuk dipadam sebagai eksperimen.

Tiga pintu sebelum paket bergerak

Pintu pertama ialah kuasa: pengurusan mesti membenarkan VPN sama sekali, dan sesetengah penggunaan mengehadkan jenisnya serta kewujudannya. Kedua ialah identiti: sijil klien atau kelayakan mesti tersedia dalam pengguna yang memiliki profil, kerana sijil yang diimport ke keystore peribadi tidak kelihatan kepada profil kerja.

Ketiga ialah persetujuan dan dasar. Pengguna biasanya meluluskan sambungan kali pertama ia digunakan, dan pentadbir boleh menetapkannya sebagai sentiasa hidup, dengan pilihan kunci sekatan supaya trafik tidak boleh keluar di luar terowong. Tetapan itu menentukan apa yang berlaku apabila terowong mati, iaitu bahagian yang pengguna perhatikan.

Skop ialah tempat ketiga-tiganya bertemu. Profil menentukan gerbang dan identiti, manakala lapisan dasar menentukan aplikasi mana yang boleh menggunakan terowong dan sama ada trafik dipaksa melaluinya. Dua telefon dengan alamat gerbang yang sama boleh berkelakuan sangat berbeza.

Mengapa sambungan peribadi tidak meliputi aplikasi kerja

Trafik daripada aplikasi kerja dijana dalam pengguna kerja, dan dasar rangkaian yang terpakai ialah dasar dalam pengguna itu. Terowong yang dibina dalam profil peribadi tidak membawanya, tidak kira betapa sihat penunjuk kelihatan. Fakta tunggal itu menjelaskan kebanyakan laporan apabila pengguna bersumpah VPN bersambung tetapi satu aplikasi tertentu masih tidak dapat mencapai perkhidmatan dalaman.

Penyelesaian nama mengikut sempadan yang sama. Akhiran DNS persendirian dan penambat kepercayaan adalah mengikut pengguna, jadi nama hos dalaman yang diselesaikan dalam profil peribadi mungkin gagal dalam profil kerja walaupun terowong kelihatan setara, kerana dasar penyelesai dan stor CA ialah objek berbeza.

Sahkan pada pendaftaran sebenar, bukan telefon makmal

Pada peranti, kenal pasti pemilik entri dahulu: pengguna mana, pakej mana, dan sama ada profil datang daripada penyedia platform atau daripada aplikasi yang melaksanakan perkhidmatan VPN sendiri. Kemudian sahkan identiti yang dijangka oleh profil itu benar-benar ada dalam keystore pengguna tersebut.

Uji kitaran hayat, bukan hanya sambungan. Masuk, buka kunci stor kelayakan, biarkan profil kerja berehat untuk waktu petang, kemudian hidupkan semula dan periksa terowong kembali tanpa ketikan manual. Profil kerja yang mati selepas waktu bekerja membawa terowongnya bersama, dan itu tingkah laku yang dijangka dan bukan kerosakan, asalkan keadaan tidak tersedia yang dijangka dituliskan.

Akhir sekali, uji aplikasi kerja itu sendiri terhadap titik akhir dalaman yang diketahui dan bandingkan dengan hasil profil peribadi. Kedua-duanya dibenarkan berbeza; yang tidak boleh berbeza ialah model pemilikan. Jika terowong milik pengguna yang salah, berapa kali pun sijil dikeluarkan semula, ia tidak akan membaikinya.

Jangan paksa isu dengan melancarkan aktiviti tetapan tersembunyi untuk mendedahkan menu, dan jangan salin kunci persendirian antara profil untuk membuat sambungan kelihatan. Rujukan VpnManager menerangkan apa yang pemanggil dibenarkan sediakan; jika laluan yang diluluskan tidak merangkumi kes anda, itu keputusan pentadbir dan bukan masalah tetapan.