Blokker VPN-konfigurasjon på Android: sjekkliste for utrulling
Avgjer policyen, stadfest myndigheita du faktisk har, kontroller åtferda per versjon, og hald den godkjende alltid-på-vegen levande før du handhevar.
Nokon ber deg hindre folk i å konfigurere sin eigen VPN på styrte Android-einingar. Det freistande svaret er ein brannmurregel som blokkerer nokre få kjende portar. Det svaret overser korleis plattforma fungerer og korleis applikasjonar faktisk koplar til.
Den støtta kontrollen er ei administrasjonsavgrensing på eininga eller profilen du eig, og ho har eit eksplisitt omfang, versjonsavhengig åtferd og eit unntak du må konfigurere medvite.
Gå gjennom dei fem kontrollane nedanfor i rekkjefølgje. Kvar av dei kan gjere planen ugyldig, så stogg ved den første som ikkje held.
Kontroll 1: avgjer kva ingen VPN tyder
To krav gøymer seg bak same setninga. Det eine er at ingen brukar kan opprette sin eigen VPN. Det andre er at berre den godkjende VPN-en til organisasjonen kan køyre. Begge er legitime, og dei gir ulike konfigurasjonar, ulike støttehistorier og ulike feilmodi.
Skriv ned kva for ein av dei du kjøper før du rører ein administrasjonskonsoll. Viss føremålet er ein godkjend tunnel for alle, implementerer du ein godkjend veg med eit forbod rundt; viss føremålet er ingen tunnelar i det heile, må du også godta at vegar for fjernåtkomst og feilsøking endrar seg.
Tar du feil her, ser utrullinga ut til å verke medan ho stille kuttar VPN-en drifta er avhengig av, noko som vanlegvis vert oppdaga av den som har vakt på eit ubeleileg tidspunkt.
Kontroll 2: stadfest myndigheita du faktisk har
Android gjer avgrensinga tilgjengeleg gjennom UserManager.DISALLOW_CONFIG_VPN, dokumentert i UserManager-referansen. Ho hindrar VPN-konfigurasjon og -oppstart, og det er ikkje ei innstilling ei vanleg brukarprogram kan bruke på seg sjølv eller på andre appar.
Ho vert brukt av ein autorisert administrator: ein einingssigar for heile eininga, eller ein profiligar for den styrte profilen, med same myndigheit tilgjengeleg for ein profiligar inne i den styrte profilen. Viss EMM-en din ikkje kan opptre som ein av desse, har du ikkje denne kontrollen, og inga mengd policykonfigurasjon i konsollen vil skape han.
Omfanget tyder like mykje som myndigheita. Ei avgrensing som vert brukt på ein arbeidsprofil, styrer den profilen, ikkje den personlege sida av same telefonen. Å skildre det som kontroll over alt brukaren gjer er unøyaktig, og det vil verte testa av den første som installerer ein VPN i den personlege profilen og oppdagar at han verkar.
Kontroll 3: kjenn åtferda per versjon
Avgrensinga har endra seg gjennom utgjevingane, og skilnadene avgjer kva utrullinga di faktisk vil gjere på einingane i felt.
| Plattformgrense | Dokumentert åtferd |
|---|---|
| Einings- eller profiligar | Avgrensinga kan brukast under myndigheita til den eigaren |
| API 24 og seinare | Ein alltid-på-VPN som einings- eller profiligaren konfigurerte, vert framleis starta av systemet |
| API 31 og seinare | Slår du på avgrensinga, vert ein VPN som brukaren allereie hadde køyrande, kopla frå |
API 31-raden er den som overraskar folk midt i utrullinga: på desse einingane er handhevinga ikkje kosmetisk, ho koplar frå ein tunnel som allereie køyrde. Planlegg det som ei synleg hending i staden for ei stille innstillingsendring.
API 24-raden er den som reddar deg: ein alltid-på-VPN konfigurert av eigaren overlever avgrensinga, og det er slik den godkjende vegen i det heile vert verande tilgjengeleg.
Kontroll 4: hald den godkjende vegen levande
Konfigurer og test alltid-på-VPN-en til organisasjonen før du handhevar avgrensinga, ikkje etterpå. Handhevar du først, mistar einingane tunnelen og verktøya du ville diagnostisere dei med samstundes.
Stadfest tre ting eksplisitt: at alltid-på-VPN-en vert oppretta av eigaren og ikkje av brukaren; at han startar på desse einingane etter handhevinga; og at han overlever ein omstart. Ein tunnel som berre kjem opp manuelt, er ikkje ein godkjend veg; det er ein kø av støttebillettar.
Hald ein attopprettingsveg som ikkje er avhengig av at tunnelen er oppe. Ein administrasjonskonsoll, ein lokal admin-veg eller ein kanal utanfor bandet fungerer alle. Det som ikkje fungerer, er å gå ut frå at du kan rette ein øydelagd policy gjennom tilkoplinga policyen nettopp deaktiverte.
Kontroll 5: verifiser, og skildre deretter grensa ærleg
Test med ei ekte eining og ein ekte konto. Stadfest at ein brukar ikkje kan leggje til eller starte ein VPN, stadfest at den godkjende tunnelen koplar til og ber trafikk, og stadfest at den personlege profilen framleis oppfører seg som dokumentert. Desse tre resultata er akseptkriteria.
Ver deretter varsam med kva du påstår. Avgrensinga styrer VPN-evna til Android. Ho gjer ikkje kvar tillaten tilkopling til ein inspisert protokoll, og ho hindrar ikkje ein app i å rute sine eigne førespurnader gjennom ein eksplisitt proxy. Å blokkere UDP 500, UDP 4500 og éin OpenVPN-port er ikkje den same kontrollen, fordi trafikk kan reise over mange transportar, inkludert vanleg utsjåande HTTPS.
Viss kravet er breiare enn VPN-evna, kombiner dette med appdistribusjonspolicy, kontokontrollar og nettverksavgrensingar som passar miljøet. Og registrer kva som vert ståande utanfor omfanget, slik at ingen gientek ein delvis avgrensing som ein fullstendig i neste revisjon.