Android 12 IKEv1 VPN: il-verżjoni tal-varar, IKEv2 u l-apps ta\’ partijiet terzi

Żewġ telefoni t-tnejn juru Android 12 fis-Settings, u wieħed biss minnhom għadu jibda l-profil IPsec XAuth antik li toffri l-gateway tiegħek. Id-differenza mhix setting li l-utent jista' jilħaq: il-gwardja li tikkontrolla t-triq IKEv1 legata nattiva tħares lejn il-livell SDK li bih il-mezz wasal, mhux biss lejn ir-rilaxx li qed imexxi bħalissa. Dak id-dettall wieħed jiddeċiedi jekk paragun tal-flotta huwiex sinifikanti, u jiddeċiedi wkoll liema minn tliet toroq ta' migrazzjoni fil-fatt għandek bżonn.

Żewġ telefoni Android 12 mhumiex l-istess każ ta' test

Il-bidla fl-AOSP li waqqfet mezzi ġodda milli jibdew profili IKEv1 legati tqabbel DEVICE_INITIAL_SDK_INT ma' Android S, li hija API 31. Fit-triq tal-bidu legata nattiva, profil ikkwalifikat iqajjem falliment ta' operazzjoni mhux appoġġjata qabel ma teżisti konnessjoni utli. Telefon li wasal ma' Android 11 u mbagħad ġie aġġornat għadu jgħaddi minn dik il-gwardja; mudell li nbeda ma' Android 12 ma jgħaddix.

Tista' taqra ż-żewġ numri fuq mezz bi debugging attivat:

adb shell getprop ro.product.first_api_level
adb shell getprop ro.build.version.sdk
adb shell getprop ro.build.version.release

L-ewwel valur huwa l-livell tal-varar li tiegħu jimpurtah il-gwardja, it-tieni huwa dak li t-telefon qed imexxi llum. Fejn il-proprjetà hija nieqsa, ibbaża ruħek fuq id-dokumentazzjoni ta' appoġġ tal-mudell minflok ma taqta' mill-isem tal-kummerċ, u tassumix li build tal-fornitur iżomm kull triq ta' kompatibilità li kellu r-rilaxx bażi tiegħu.

Distinzjoni oħra tiffranka siegħa ta' ħin ta' appoġġ moħli: profil salvat li għadu elenkat fis-settings tal-VPN ma jipprovax xejn dwar jekk il-pjattaforma se tibdihx. L-għoti mill-ġdid tal-PSK jew l-editjar tar-rotot ma jistax ineħħi verifika tal-appoġġ tal-protokoll li taħdem qabel, u l-falliment jidher bħala problema tal-kredenzjali meta mhuwiex.

Triq waħda: żomm il-munzell legat nattiv fejn għadu jaħdem

Il-munzell legat huwa dak li jaqra profili IPsec XAuth PSK, IPsec Hybrid RSA u L2TP/IPsec PSK mill-iskrin VPN tas-sistema. Fuq mezz li wasal taħt API 31 jibqa' triq vijabbli wara l-aġġornament, u għalhekk prova fuq apparat anzjan tista' tirnexxi waqt li apparat ġdid ifalli l-istess profil.

Il-paragun li jgħodd huwa skont il-klassi tal-mezz, mhux skont il-verżjoni ta' Android: elenka l-mudelli fil-flotta, aqra l-livelli API tal-varar tagħhom, u aqsamhom f'mezzi li għadhom jibdew il-profil u mezzi li ma jistgħux. Kull ħaġa oħra tipproduċi politika ta' appoġġ li tikkontradixxi lilha nnifisha fil-mument li utent jixtri telefon ġdid.

Triq tnejn: profili IKEv2 tal-pjattaforma

Il-mudell pubbliku ta' providiment ta' Android għall-IKEv2 huwa oġġett differenti, mhux profil IKEv1 b'isem ġdid. L-API tal-pjattaforma għall-profili IKEv2 waslet ma' API 30 u tistenna IKEv2 bil-metodu ta' awtentikazzjoni li toffri l-gateway, normalment ibbażat fuq ċertifikat jew EAP. M'hemmx aġġornament kompatibbli bil-wire minn IKEv1 XAuth jew Hybrid għal IKEv2: il-gateway irid jiġi kkonfigurat għall-protokoll il-ġdid, u l-profil irid iġorr l-identità li taqbel.

Din hija t-triq bl-itwal għomor, u wkoll dik li turi x-xogħol veru. Il-validazzjoni tal-identità, l-awtentikazzjoni tal-utent, id-DNS, ir-rotot split-tunnel u l-awtorizzazzjoni tar-riżorsi kollha jridu jgħaddu mill-migrazzjoni; jekk jirnexxi biss l-handshake, l-utenti jibqgħu konnessi ma' mina li ma tilħaq xejn.

L-iskjerament normalment isir permezz ta' MDM jew konfigurazzjoni ġestita, mhux utent li jittajpja l-oqsma. Jekk dik l-infrastruttura għadha ma teżistix, il-pjan ta' migrazzjoni jrid jinkludiha, għax id-dħul mill-ġdid ta' profil IKEv2 bl-idejn fuq kull mezz mhijiex operazzjoni li help desk jista' jassorbi.

Triq tlieta: applikazzjoni klijent ta' parti terza

Xi applikazzjonijiet VPN iġorru l-implimentazzjoni tal-protokoll tagħhom stess u ma jiddependux affattu fuq il-munzell legat nattiv. Dan jagħmilhom soluzzjoni temporanja leġittima għal flotta li ma tistax timmigra malajr, imma l-mistoqsija tal-kompatibilità tmur għall-app: jekk timplimentax il-mod IKEv1 eżatt li titkellem il-gateway tiegħek, bl-awtentikazzjoni u s-suite ta' ċifri li teħtieġ il-gateway.

Qis il-matriċi ta' appoġġ tal-app stess bħala l-awtorità u mhux id-deskrizzjoni tal-ħanut, u ttestja mezz wieħed reali kontra l-gateway reali qabel ma tirrakkomandaha. L-għeruq ta' telefon biex tinstab triq tal-pjattaforma mneħħija mhijiex soluzzjoni mantenuta lanqas; hija ċċaqlaq il-problema f'konfigurazzjoni mhux appoġġjata li l-aġġornament tas-sistema li jmiss jista' jkissir bil-kwiet.

Agħżel skont dak li l-gateway jista' joffri

Id-deċiżjoni tidjieq meta tkun taf żewġ affarijiet: liema mezzi nbdiet fl-API 31 jew warajha, u jekk il-gateway jistax jippreżenta servizz IKEv2 bl-istess mudell ta' reġistrazzjoni. Jekk jista', immigra u waqqaf l-investiment fil-profil legat. Jekk għadu ma jistax, żomm IKEv1 għall-mezzi li għadhom jibduh, u agħti lill-mezzi l-ġodda klijent ta' parti terza bħala eċċezzjoni dokumentata u b'limitu ta' żmien minflok soluzzjoni moħbija.

Żewġ punti jagħmlu l-pjan difendibbli. L-ewwel, innota r-raġuni għal kull eċċezzjoni mal-mudell u l-livell tal-varar, sabiex awditur jista' jara li l-konfini hija gwardja tal-pjattaforma u mhux preferenza mhux spjegata. It-tieni, qis il-migrazzjoni bħala xogħol ippjanat: IKEv1 hija deprekata mit-triq tal-istandards (RFC 9395), li jfisser li l-mezzi li jifdal se jkomplu jonqsu u l-eċċezzjonijiet għandhom jiskadu magħhom.