Menandakan Satu Aplikasi dalam OpenVPN? Asas Senarai yang Menentukan
Pakej bertanda yang sama bermaksud sertakan atau kecualikan bergantung pada asas senarai. Pilih sertakan-sahaja dahulu, sambung semula, kemudian uji keseluruhan aliran kerja.
Kotak semak kelihatan seperti keseluruhan keputusan, dan pada Android ia bukan begitu. Pakej bertanda yang sama bermaksud “hanya aplikasi ini menggunakan VPN” di bawah asas sertakan-sahaja dan “aplikasi ini melangkau VPN” di bawah asas yang mengecualikan pilihan. Orang memasang klien, menemui senarai berlabel Aplikasi dibenarkan, menandakan satu pakej yang mereka ambil peduli, dan pergi dengan dasar yang berbuat sebaliknya. Menukar klien jarang membantu; memilih asas sebelum menyentuh senarai memang membantu.
Asas itulah dasar, bukan kotak semak
Di bawah VpnService Android, klien mengkonfigurasi penghalaan setiap aplikasi dengan addAllowedApplication atau addDisallowedApplication. Yang pertama mengehadkan terowong kepada pakej yang disenaraikan, yang kedua menyalurkan segala-galanya kecuali pakej itu. Klien membalut kedua-duanya dalam UI yang boleh kelihatan hampir serupa, dan sesetengahnya melabel bahagian itu mengikut senarai dan bukan mod, jadi tajuk bahagian sahaja tidak dapat memberitahu asas mana yang aktif.
Baca kawalan mod di atas senarai, bukan tajuknya. Dalam klien OpenVPN for Android huluan, senarai aplikasi dibenarkan mempunyai asas sertakan-sahaja dan asas mengecualikan pilihan, dan binaan berjenama boleh merumuskan kedua-duanya secara berbeza sambil mengekalkan dua tingkah laku yang sama. Tangkapan skrin daripada klien lain, atau daripada versi lebih lama klien yang sama, bukan bukti tentang mod yang anda berada di dalamnya.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Jadual itu ialah keseluruhan mitos. Menandakan aplikasi ialah kenyataan tentang satu pakej; asas menentukan sama ada kenyataan itu “sertakan” atau “kecualikan”.
Pilih mod dahulu, kemudian pakej
Bekerja mengikut urutan ini, kerana pilihan yang dibuat di bawah satu asas boleh bertahan selepas perubahan mod dan secara senyap menyongsangkan kesannya:
- Kenal pasti pakej sebenar dan sama ada ia salinan peribadi atau salinan profil kerja.
- Buka tetapan pemilihan aplikasi untuk profil VPN yang tepat yang anda sambung.
- Tetapkan asas yang maksudnya “hanya aplikasi yang dipilih menggunakan VPN”.
- Sertakan pakej yang dimaksudkan dan biarkan aplikasi tidak berkaitan di luar set.
- Sambung semula supaya klien membina semula antara muka dengan senarai baharu.
Profil sama pentingnya dengan pakej. Klien boleh menyimpan beberapa profil, dan pemilihan setiap aplikasi milik profil yang anda benar-benar sambung; menyunting profil yang tidak pernah anda gunakan tidak mengubah apa-apa. Pada peranti terurus, profil kerja ialah pengguna berasingan dengan salinan aplikasinya sendiri dan dasarnya sendiri, jadi fakta bahawa instans peribadi berada di dalam terowong tidak mengatakan apa-apa tentang instans kerja.
Sambung semula sebelum menilai hasilnya
VpnService membaca senarai aplikasi apabila antara muka terowong ditubuhkan. Terowong yang berjalan tidak semestinya mengambil kira suntingan senarai, dan klien berbeza sama ada membinanya semula secara automatik atau menunggu anda memutuskan dan menyambung semula.
Jika perubahan itu kelihatan tidak melakukan apa-apa, uji sambungan semula sebelum anda meragui senarai itu. Kemudian buat permintaan baharu dan bukan memuat semula halaman yang sudah terbuka: aplikasi yang mengekalkan sambungan terbina ialah subjek ujian yang lemah, dan hasil yang anda lihat mungkin milik antara muka lama.
Aliran kerja anda boleh keluar dari aplikasi
Aplikasi boleh menyerahkan kepada pelayar untuk log masuk, kepada pemapar dokumen, atau kepada sasaran kongsi. Di bawah asas sertakan-sahaja pembantu itu berada di luar terowong, jadi aliran kerja boleh gagal di tengah walaupun aplikasi pertama dikonfigurasi dengan betul. Sertakan pembantu hanya jika aliran kerja benar-benar memerlukannya, dan tambahnya dengan sengaja dan bukan menemuinya semasa demo.
Pemilihan setiap aplikasi juga tidak menggantikan dasar laluan sambungan itu sendiri. Profil masih perlu membawa awalan destinasi dan keluarga alamat yang digunakan aplikasi, dan gerbang masih perlu membenarkan perkhidmatan itu. Aplikasi yang disenaraikan dengan betul tetapi destinasi tidak boleh dicapai kelihatan sama seperti senarai yang salah dikonfigurasi.
Uji kedua-dua belah, kemudian tuliskan dasar itu
Uji satu permintaan baharu dalam aplikasi yang disertakan dan satu dalam aplikasi yang dijangka kekal di luar. Bandingkan alamat keluar dan akses kepada sumber persendirian, kemudian ulangi selepas sambungan semula. Jika organisasi anda menggunakan dasar Android menyekat sambungan tanpa VPN, aplikasi yang dikecualikan mungkin disekat terus dan bukan pergi terus; itu dasar yang berfungsi, bukan kerosakan untuk dielakkan.
Rekodkan mod, nama pakej dengan profilnya, aplikasi mana yang patut memintas, keluarga alamat mana yang dibawa terowong, dan apa yang patut berlaku apabila terowong mati. Jika klien tidak dapat menyatakan aliran kerja dengan bersih, pilih set aplikasi diluluskan yang lebih luas atau dasar profil terurus dan bukan menyunting peraturan tembok api pada peringkat root, yang bukan sebahagian daripada mekanisme setiap aplikasi yang disokong Android.