Menyekat konfigurasi VPN pada Android: senarai semak pelancaran

Seseorang meminta anda menghalang orang daripada mengkonfigurasi VPN mereka sendiri pada peranti Android yang diurus. Jawapan yang menggoda ialah peraturan firewall yang menyekat beberapa port biasa. Jawapan itu terlepas pandang cara platform berfungsi dan cara aplikasi benar-benar bersambung.

Kawalan yang disokong ialah sekatan pengurusan pada peranti atau profil yang anda miliki, dan ia mempunyai skop yang jelas, tingkah laku bergantung versi, dan pengecualian yang mesti anda konfigurasi dengan sengaja.

Lakukan lima semakan di bawah mengikut urutan. Setiap satu boleh membatalkan pelan, jadi berhenti pada yang pertama yang tidak bertahan.

Semakan 1: tentukan apa maksud tiada VPN

Dua keperluan tersembunyi di sebalik ayat yang sama. Satu ialah tiada pengguna boleh mencipta VPN sendiri. Satu lagi ialah hanya VPN yang diluluskan oleh organisasi boleh berjalan. Kedua-duanya sah, dan ia menghasilkan konfigurasi berbeza, kisah sokongan berbeza dan mod kegagalan berbeza.

Tuliskan yang mana satu anda beli sebelum menyentuh mana-mana konsol pengurusan. Jika niatnya ialah satu terowong diluluskan untuk semua, anda melaksanakan laluan diluluskan dengan larangan di sekelilingnya; jika niatnya ialah tiada terowong sama sekali, anda juga mesti menerima bahawa laluan akses jauh dan penyelesaian masalah akan berubah.

Silap di sini dan pelancaran akan kelihatan berjaya sambil memotong secara senyap VPN yang menjadi kebergantungan operasi, biasanya ditemui oleh orang yang bertugas pada waktu yang tidak sesuai.

Semakan 2: sahkan kuasa yang sebenarnya anda miliki

Android mendedahkan sekatan itu melalui UserManager.DISALLOW_CONFIG_VPN, didokumenkan dalam rujukan UserManager. Ia menghalang konfigurasi dan permulaan VPN, dan ia bukan tetapan yang boleh digunakan oleh aplikasi biasa pada dirinya sendiri atau pada aplikasi lain.

Ia digunakan oleh pentadbir yang diberi kuasa: pemilik peranti untuk seluruh peranti, atau pemilik profil untuk profil terurus, dengan kuasa yang sama tersedia kepada pemilik profil di dalam profil terurus. Jika EMM anda tidak boleh bertindak sebagai salah satu daripadanya, anda tidak mempunyai kawalan ini, dan berapa banyak konfigurasi dasar dalam konsol pun tidak akan menciptanya.

Skop sama pentingnya dengan kuasa. Sekatan yang dikenakan pada profil kerja mengawal profil itu, bukan bahagian peribadi telefon yang sama. Menggambarkannya sebagai kawalan ke atas segala yang dilakukan pengguna adalah tidak tepat, dan ia akan diuji oleh orang pertama yang memasang VPN dalam profil peribadi dan mendapati ia berfungsi.

Semakan 3: kenali tingkah laku mengikut versi

Sekatan itu telah berubah merentas keluaran, dan perbezaannya menentukan apa yang pelancaran anda sebenarnya akan lakukan pada peranti di lapangan.

Baris API 31 ialah yang mengejutkan orang di tengah-tengah pelancaran: pada peranti itu penguatkuasaan bukan kosmetik, ia memutuskan terowong yang sudah berjalan. Rancang perkara itu sebagai peristiwa yang kelihatan dan bukan perubahan tetapan yang senyap.

Baris API 24 ialah yang menyelamatkan anda: VPN selalu-hidup yang dikonfigurasi pemilik bertahan daripada sekatan, dan begitulah laluan diluluskan kekal tersedia.

Semakan 4: kekalkan laluan diluluskan hidup

Konfigurasi dan uji VPN selalu-hidup organisasi sebelum anda menguatkuasakan sekatan, bukan selepasnya. Jika anda menguatkuasakan dahulu, peranti kehilangan terowong dan alat yang akan anda gunakan untuk mendiagnosisnya pada masa yang sama.

Sahkan tiga perkara secara eksplisit: bahawa VPN selalu-hidup dicipta oleh pemilik dan bukan pengguna; bahawa ia bermula pada peranti itu selepas penguatkuasaan; dan bahawa ia bertahan selepas but semula. Terowong yang hanya naik secara manual bukan laluan diluluskan; ia adalah barisan tiket sokongan.

Kekalkan laluan pemulihan yang tidak bergantung pada terowong berada dalam keadaan hidup. Konsol pengurusan, laluan pentadbir setempat atau saluran luar jalur semuanya berfungsi. Yang tidak berfungsi ialah menganggap anda boleh membaiki dasar yang rosak melalui sambungan yang baru sahaja dimatikan oleh dasar itu.

Semakan 5: sahkan, kemudian terangkan hadnya dengan jujur

Uji dengan peranti sebenar dan akaun sebenar. Sahkan pengguna tidak boleh menambah atau memulakan VPN, sahkan terowong diluluskan bersambung dan membawa trafik, dan sahkan profil peribadi masih berkelakuan seperti didokumenkan. Ketiga-tiga hasil itu ialah kriteria penerimaan.

Kemudian berhati-hati dengan apa yang anda dakwa. Sekatan itu mengawal keupayaan VPN Android. Ia tidak menukar setiap sambungan yang dibenarkan menjadi protokol yang diperiksa, dan ia tidak menghalang aplikasi daripada menghalakan permintaannya sendiri melalui proksi eksplisit. Menyekat UDP 500, UDP 4500 dan satu OpenVPN port bukan kawalan yang sama, kerana trafik boleh bergerak melalui banyak pengangkutan, termasuk HTTPS yang kelihatan biasa.

Jika keperluan lebih luas daripada keupayaan VPN, gabungkan ini dengan dasar pengedaran aplikasi, kawalan akaun dan sekatan rangkaian yang sesuai dengan persekitaran. Dan catat apa yang kekal di luar skop, supaya tiada siapa mengulangi sekatan separa sebagai lengkap dalam audit seterusnya.