Fejn għandha tgħix regola tal-firewall Android meta l-VPN ikun mixgħul
VpnService wieħed biss jista’ ikun attiv, għalhekk app tal-firewall u app VPN ma jitbnewx fuq xulxin. Għaddi minn talba waħda tax-xogħol u poġġi kull regola fejn it-traffiku tagħha jgħaddi tassew.
Għandek sentenza waħda ta’ politika: din l-app tista’ tilħaq is-servizz tax-xogħol, u xejn ieħor. Il-mistoqsija li jmiss tidher bħala għażla ta’ prodott, iżda hija mistoqsija ta’ post, għax kull punt ta’ infurzar possibbli jara parti differenti mit-traffiku tat-telefon. Il-bieb jara biss dak li jidħol fil-mina. Il-filtru fuq in-naħa tat-telefon jara biss dak li huwa permess josserva. Li tgħaddi talba waħda mit-tnejn tagħmel it-tweġiba ovvja.
Ibda mis-sentenza, mhux mill-prodott
Wessa’ r-rekwiżit qabel tagħżel xi ħaġa. Dan ifisser il-pakkett u l-profil li fih jaħdem, għax app fil-profil tax-xogħol hija utent differenti mill-istess app fil-profil personali. Ifisser id-destinazzjoni: host, port u protokoll, mhux isem ta’ servizz. Ifisser it-triq DNS li ssolvi dak l-isem, u jfisser x’ għandu jiġri meta l-mina ma tkunx disponibbli.
Miktuba, il-politika tal-eżempju hija erba’ linji: l-app tax-xogħol tista’ tilħaq is-servizz tax-xogħol; ma tistax tilħaq xejn ieħor; app oħra jibqgħu bla bidla; mingħajr mina, l-app tax-xogħol tiġi miċħuda minflok ma taqa’ għal triq diretta. Kull linja għandha sid, u mhux kollha huma l-istess sid.
Pass 1: x’ jista’ jinfurza t-telefon innifsu
Firewall Android mingħajr root huwa VpnService li jaqbad it-traffiku lokalment, anki meta warajh ma jkunx hemm mina remota. Android jippermetti servizz VPN wieħed attiv għal kull profil tal-utent, għalhekk it-tieni app tal-firewall ma tiġix marbuta wara l-ewwel waħda. Hija tissostitwiha, u l-interface li l-ewwel app kienet tiffiltra tisparixxi.
Għalhekk l-installazzjoni ta’ firewall ħdejn klijent VPN rarament tagħti l-kombinazzjoni li n-nies jistennew. Jekk il-firewall jibda u l-VPN jaqta’, xejn ma ġie kkombinat; it-tnejn biddlu posthom. Is-sostituzzjoni ta’ interface mhijiex kooperazzjoni, u s-sintomu huwa mina li taqa’ kontinwament kull darba li tinfetaħ l-app l-oħra.
Jeżistu arranġamenti appoġġjati: filtrazzjoni mibnija fil-klijent VPN li diġà qed tuża, kontrolli tal-pjattaforma ġestiti permezz ta’ kontrollur tal-politika tal-apparat jew profil tax-xogħol, jew arkitettura li d-ditta tiddokumenta. Kull ħaġa oħra hija esperiment li jrid jiġi vverifikat mill-ġdid wara kull aġġornament tal-app.
Pass 2: x’ jista’ jinfurza l-bieb
Ladarba t-traffiku jiġi deċifrat fit-tarf imbiegħed, il-bieb jista’ jillimita l-pakketti mgħoddija għal indirizzi, servizzi jew identitajiet VPN awtentikati approvati. Dan huwa infurzar reali għal kull ma joħroġ minnu, u huwa l-post tajjeb biex tillimita l-aċċess għas-subnets privati.
Dak li ma jirċevix huwa l-identità tal-app tat-telefon imwaħħla ma’ kull pakkett IP ordinarju. Diversi app li jaqsmu indirizz tal-mina wieħed huma suġġett wieħed għall-bieb, sakemm id-disinn ma jagħtihomx indirizzi separati jew identitajiet awtentikati separati. Għalhekk regola għal kull utent fil-bieb mhijiex regola għal kull app fuq it-telefon, hi kif hi l-console tal-ġestjoni tsejħa.
Pass 3: elenka dak li qatt ma jasal
App eskluża mill-VPN li tikkuntattja apparat fil-qrib qatt ma tasal għall-bieb, għalhekk firewall tal-ħruġ ma jistax jirrifjuta pakkett li qatt ma jirċievi. L-istess jgħodd għal triq diretta mhux intenzjonata waqt qtugħ u għal espożizzjoni deħlin fuq in-netwerk tal-aċċess lokali. Dawn huma fruntieri lokali bid-definizzjoni.
Il-kuntrarju huwa veru wkoll: regola lokali li tippermetti konnessjoni ma tagħtix aċċess permezz tal-ACL tan-netwerk privat tal-bieb. Talba waħda tista’ tkun suġġetta għaż-żewġ fruntieri, u li tissodisfa waħda ma tgħid xejn dwar l-oħra.
Pass 4: assenja kull regola lil triq
Qiegħed id-deċiżjoni f’ tabella qabel ma tikkonfigura xi ħaġa, għax iċ-ċelloli vojta huma fejn id-disinni jonqsu.
| Triq | Min jista’ jinfurzaha | Punt għami |
|---|---|---|
| App tax-xogħol għas-servizz tax-xogħol, mina miftuħa | ACL tal-bieb fuq indirizz u servizz, flimkien ma’ blokk lokali fuq toroq oħra | Il-bieb ma jarax liema app bagħtet il-pakkett |
| App tax-xogħol għal destinazzjonijiet oħra, mina miftuħa | Filtru lokali li jaf bl-apps, jew il-bieb jekk dawk id-destinazzjonijiet huma indirizzati hemmhekk | Il-filtru lokali jrid ikun il-VpnService attiv |
| App tax-xogħol mingħajr mina | Ċaħda lokali, sabiex l-app ma tistax tieħu triq diretta | Titlob li l-filtru jibqa’ ħaj meta l-mina tisparixxi |
| Apparat LAN fil-qrib | Politika lokali biss | Il-bieb qatt ma jarah |
Il-forma li taħdem hija żewġ fruntieri b’ żewġ xogħlijiet. Fruntiera lokali li taf bl-apps tirregola l-imġiba tat-telefon, inkluża l-waqgħa diretta, u fruntiera tal-bieb tirregola r-riżorsi remota. In-naħa tal-bieb tista’ tippermetti s-servizz tax-xogħol u tirrifjuta kull subnet privat ieħor, filwaqt li l-politika fuq in-naħa tat-telefon tiddeċiedi hi stess dwar triq diretta li l-app setgħet tieħu mod ieħor.
Pass 5: żomm it-trasport ħaj, imbagħad ivverifika
Hi liema hi l-politika lokali li tagħżel, trid tippermetti t-trasport li jistabbilixxi u jżomm il-VPN. Li timblokka dak it-trasport iħalli t-telefon mingħajr mina u mingħajr politika, li ma jinfurza xejn b’ mod koerenti u huwa diffiċli jiġi dijanjostikat, għax l-app sempliċement m’ għandhiex netwerk.
Imbagħad ivverifika kull linja tas-sentenza oriġinali minflok l-impressjoni ġenerali: l-app tax-xogħol tilħaq is-servizz tax-xogħol, l-istess app tiġi miċħuda f’ destinazzjoni oħra, app li mhijiex tax-xogħol iġġib ruħha bħal qabel, u bil-mina mwaqqfa l-app tax-xogħol ma taqax għal konnessjoni diretta. Iċċekkja t-triq DNS separatament, għax DNS privat jew solver encrypted jistgħu jaqbżu filtru li jeżamina biss indirizzi.
Jekk wieħed minn dawn il-passi ma jistax jiġi sodisfatt fuq it-telefon, ir-rekwiżit huwa mistoqsija ta’ arkitettura u mhux setting tal-firewall. Li tqassam il-politika bejn apparat li tikkontrolla u bieb li tikkontrolla hija normalment it-tweġiba onesta, u d-dokumentazzjoni tal-konnettività VPN ta’ Android hija l-post fejn tikkonferma x’ il-pjattaforma se tippermetti u ma tippermettix lil servizz wieħed.