Android मा IKEv2 VPN प्रोफाइल प्रति-प्रयोगकर्ता हुन्, प्रति-यन्त्र होइन

Android मा बिल्ट-इन VPN भन्ने वाक्यांशले दुई असम्बन्धित कुरा समेट्छ: प्लेटफर्मले तपाईंको तर्फबाट चलाउने प्रोटोकल कार्यान्वयन, र निर्माताले कुन सेटिङको स्वरूप देखाउने निर्णय गरेको कुरा। यी एउटै वस्तु होइनन्, र कुनैले पनि टनेल त्यही प्रयोगकर्ताको हो जसका एपहरूलाई त्यो चाहिन्छ भनी ग्यारेन्टी गर्दैन। प्रोभिजनिङ एक निश्चित प्रयोगकर्तामा एक निश्चित कल गर्ने प्याकेजसँग हुन्छ, र त्यसपछिको सबै कुराले त्यही सन्दर्भ उत्तराधिकारमा पाउँछ। सेटिङ स्क्रिन पढ्नु अघि स्वामित्वको श्रृंखला पढ्नुहोस्।

प्लेटफर्मले तपाईंका लागि के बनाउँछ

Android 11 देखि प्लेटफर्मले VpnManager मार्फत VPN प्रोभिजनिङ उपलब्ध गराउँछ। स्वीकृत एपले IKEv2 प्रोफाइल वर्णन गर्छ, र प्लेटफर्म आफैं IPsec र IKE आदानप्रदान चलाउँछ, त्यसैले एपले प्याकेटलाई कहिल्यै छुँदैन। यो आफ्नै VPN एपभन्दा महत्त्वपूर्ण भिन्नता हो, जसले VpnService लागू गर्छ र आफ्नै प्रक्रियामा टनेल बनाउँछ।

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

माथिको कल कपी-पेस्ट ब्लक नभई आकारको रेखाचित्र हो: बिल्डरसँग प्रमाणीकरणका धेरै प्रकार छन्, ती API स्तर अनुसार फरक पर्छन्, र प्रोफाइलले सर्भर प्रमाणपत्रको विश्वास सामग्री पनि बोक्छ। स्वामित्वको प्रश्नका लागि महत्त्वपूर्ण कुरा वाक्यरचनाभन्दा साँघुरो छ।

यस डिजाइनबाट दुई गुण आउँछन्। प्रोफाइल डाटा हो, त्यसैले हातले टाइप गर्नुको सट्टा प्रशासकले प्रोभिजन गर्न सक्छ। र टनेल प्लेटफर्मको नेटवर्क हो, त्यसैले अनुप्रयोगहरूलाई यो अर्को एपको सकेट नभई VPN यातायात भएको नेटवर्कका रूपमा देखिन्छ।

स्वामित्व पहिले प्रयोगकर्ता, त्यसपछि प्याकेज

Android को बहु-प्रयोगकर्ता लेबल होइन, वास्तविक पृथकीकरण हो। कार्य प्रोफाइल आफ्नै स्थापित प्याकेज, आफ्नै एप डाटा, आफ्नै keystore र आफ्नै विश्वास एंकर भएको छुट्टै प्रयोगकर्ता हो। दुवै ठाउँमा स्थापित एउटै उत्पादन फरक प्रयोगकर्ता आईडी भएका दुई प्रतिलिपि हुन्, लन्चर आइकन र उत्पादन नाम एउटै भए पनि।

प्रोभिजनिङ त्यो प्रयोगकर्ताभित्रको कल गर्ने प्याकेजविरुद्ध अभिलेख गरिन्छ। त्यसैले व्यक्तिगत प्रोफाइलमा चल्ने एपले व्यक्तिगत टनेल बनाउँछ, र कार्य प्रोफाइलका कार्य एपहरूले त्यसको केही देख्दैनन्। उल्टो पनि सत्य हो, त्यसैले स्पष्ट नीतिले अन्यथा नभनेसम्म कार्य-प्रोफाइल टनेल व्यक्तिगत एपहरूलाई अदृश्य हुन्छ।

यन्त्र नीति नियन्त्रकले व्यवस्थित प्रोफाइलको तर्फबाट प्रोभिजन गर्न सक्छ, र यसले कार्यालयमा कसैलाई पनि सम्झना नभएको प्रविष्टि व्याख्या गर्छ। यदि तपाईं फोनको अडिट गर्दै हुनुहुन्छ भने, धुंवलिएको प्रोफाइलको सम्भावित मालिक त्यही हो, र प्रयोगका रूपमा मेटाउने अधिकार तपाईंको होइन।

प्याकेट सर्नु अघिका तीन ढोका

पहिलो ढोका अधिकार हो: व्यवस्थापनले VPN लाई नै अनुमति दिनुपर्छ, र केही परिनियोजनले यसको अस्तित्वसँगै प्रकार पनि सीमित गर्छन्। दोस्रो पहिचान हो: ग्राहक प्रमाणपत्र वा प्रमाणहरू प्रोफाइलको मालिक प्रयोगकर्तामा उपलब्ध हुनुपर्छ, किनकि व्यक्तिगत keystore मा आयात गरिएको प्रमाणपत्र कार्य प्रोफाइललाई देखिँदैन।

तेस्रो सहमति र नीति हो। प्रयोगकर्ताले सामान्यतया पहिलो पटक प्रयोग गर्दा जडानलाई स्वीकृति दिन्छ, र प्रशासकले थप रूपमा यसलाई सधैं-सक्रिय रूपमा पिन गर्न सक्छ, चाहेमा लकडाउनसहित ताकि ट्राफिक टनेलबाहिर जान नसकियोस्। ती सेटिङले टनेल बन्द हुँदा के हुन्छ भनी निर्धारण गर्छ, र त्यही भाग प्रयोगकर्ताले महसुस गर्छन्।

व्याप्ति तीनवटै भेट्ने ठाउँ हो। प्रोफाइलले गेटवे र पहिचान निर्धारण गर्छ, जबकि नीति तहले कुन अनुप्रयोगहरूले टनेल प्रयोग गर्न सक्छन् र ट्राफिक यसबाट जबरजस्ती जान्छ कि भन्ने निर्धारण गर्छ। त्यसैले एउटै गेटवे ठेगाना भएका दुई फोनले एकदमै फरक व्यवहार गर्न सक्छन्।

व्यक्तिगत जडानले कार्य एपहरू किन ढाक्दैन

कार्य एपबाट आउने ट्राफिक कार्य प्रयोगकर्तामा उत्पन्न हुन्छ, र लागू हुने नेटवर्क नीति त्यही प्रयोगकर्ताको हो। व्यक्तिगत प्रोफाइलमा स्थापित टनेलले त्यसलाई बोक्दैन, सूचक जतिसुकै स्वस्थ देखिए पनि। यो एउटै तथ्यले धेरैजसो त्यस्ता रिपोर्ट व्याख्या गर्छ जहाँ प्रयोगकर्ता VPN जोडिएको छ भनी कसम खान्छ तर एउटा निश्चित एपले अझै आन्तरिक सेवामा पुग्न सक्दैन।

नाम समाधान पनि त्यही सीमा पछ्याउँछ। निजी DNS प्रत्यय र विश्वास एंकर प्रति-प्रयोगकर्ता हुन्छन्, त्यसैले व्यक्तिगत प्रोफाइलमा समाधान हुने आन्तरिक होस्टनाम कार्य प्रोफाइलमा असफल हुन सक्छ, टनेल समान देखिए पनि, किनकि रिजोल्भर नीति र CA भण्डार फरक वस्तु हुन्।

प्रयोगशालाको फोनमा होइन, वास्तविक दर्तामा प्रमाणित गर्नुहोस्

यन्त्रमा पहिले प्रविष्टिको मालिक पहिचान गर्नुहोस्: कुन प्रयोगकर्ता, कुन प्याकेज, र प्रोफाइल प्लेटफर्म प्रोभिजनरबाट आयो कि आफ्नै VPN सेवा लागू गर्ने एपबाट। त्यसपछि प्रोफाइलले अपेक्षा गर्ने पहिचान त्यो प्रयोगकर्ताको keystore मा साँच्चै छ कि छैन पुष्टि गर्नुहोस्।

जडान मात्र होइन, जीवनचक्र परीक्षण गर्नुहोस्। साइन इन गर्नुहोस्, प्रमाण भण्डार अनलक गर्नुहोस्, कार्य प्रोफाइललाई साँझका लागि रोकिन दिनुहोस्, त्यसपछि फर्काएर टनेल हातले ट्याप नगरी फर्कन्छ कि जाँच्नुहोस्। समयपछि बन्द हुने कार्य प्रोफाइलले आफ्नो टनेल सँगै लैजान्छ, र अपेक्षित अनुपलब्ध अवस्था लेखिएको भए त्यो दोष होइन, अपेक्षित व्यवहार हो।

अन्तमा कार्य एप आफैंलाई ज्ञात आन्तरिक एन्डपोइन्टविरुद्ध परीक्षण गरी व्यक्तिगत प्रोफाइलको नतिजासँग तुलना गर्नुहोस्। दुवै फरक हुन सक्छन्; फरक हुन नहुने कुरा स्वामित्वको ढाँचा हो। टनेल गलत प्रयोगकर्ताको भए, प्रमाणपत्र जतिपटक पुनः जारी गरे पनि सुधार हुँदैन।

लुकेका सेटिङ गतिविधि सुरु गरेर मेनु देखाउन समस्या जबरजस्ती नगर्नुहोस्, र जडान देखाउन प्रोफाइलहरूबीच निजी कुञ्जी प्रतिलिपि नगर्नुहोस्। VpnManager सन्दर्भ ले कल गर्नेलाई के प्रोभिजन गर्न अनुमति छ भनी वर्णन गर्छ; स्वीकृत बाटोमा तपाईंको अवस्था परेन भने, त्यो सेटिङको समस्या होइन, प्रशासकको निर्णय हो।