Kryssa av éin app i OpenVPN? Basisvalet på lista avgjer

Avkryssingsboksen ser ut som heile avgjerda, og på Android er han ikkje det. Same avkryssa pakke tyder «berre denne appen brukar VPN» under ein kun-inkluder-basis og «denne appen hoppar over VPN» under ein basis som ekskluderer dei valde. Folk installerer ein klient, finn ei liste merkt Tillatne apper, kryssar av den eine pakka dei bryr seg om, og går derifrå med ein policy som gjer det motsette. Å byte klient hjelper sjeldan; å velje basisen før du rører lista hjelper.

Basisen er policyen, ikkje avkryssingsboksen

Under Android sin VpnService konfigurerer ein klient ruting per app med addAllowedApplication eller addDisallowedApplication. Den første avgrensar tunnelen til pakkene som er førte opp, den andre tunnelerer alt utanom dei. Klientar pakkar dei to inn i eit grensesnitt som kan sjå nesten identisk ut, og nokre merkar seksjonen etter lista i staden for modusen, så seksjonstittelen åleine kan ikkje fortelje deg kva basis som er aktiv.

Les moduskontrollen over lista, ikkje overskrifta. I upstream OpenVPN for Android-klienten har lista over tillatne apper ein kun-inkluder-basis og ein basis som ekskluderer dei valde, og eit merkevarebygd bygg kan formulere begge annleis medan det held på dei same to åtferdene. Eit skjermbilete frå ein annan klient, eller frå ein eldre versjon av den same, er ikkje prov om modusen du er i.

Den tabellen er heile myten. Å krysse av appen er ei utsegn om éi pakke; basisen avgjer om utsegna er «inkluder» eller «ekskluder».

Vel modusen, så pakka

Arbeid i denne rekkjefølgja, fordi eit val gjort under éin basis kan overleve ei modusendring og stilt snu verknaden sin:

1. Identifiser den verkelege pakka og om det er den personlege eller arbeidsprofilkopien.
2. Opne innstillingane for appval for nøyaktig den VPN-profilen du koplar til med.
3. Set basisen der tydinga er «berre valde apper brukar VPN».
4. Inkluder den tiltenkte pakka og lat urelaterte apper vere utanfor settet.
5. Kople til på nytt slik at klienten byggjer grensesnittet på nytt med den nye lista.

Profilen er like viktig som pakka. Ein klient kan ha fleire profilar, og appvalet høyrer til den du faktisk koplar til med; å redigere ein profil du aldri brukar endrar ingenting. På ein administrert eining er arbeidsprofilen ein eigen brukar med si eiga appkopi og sin eigen policy, så at den personlege instansen er inne i tunnelen seier ingenting om arbeidsinstansen.

Kople til på nytt før du vurderer resultatet

VpnService les applistene når tunnelgrensesnittet blir etablert. Ein tunnel som køyrer tar ikkje nødvendigvis opp ei endring i lista, og klientar er ulike på om dei byggjer på nytt automatisk eller ventar på at du koplar frå og til igjen.

Viss endringa ser ut til å gjere ingenting, test gjenoppkoplinga før du tvilar på lista. Gjer deretter ei fersk førespurnad i staden for å laste inn ei side som allereie var open: ein app som held på ei etablert tilkopling er eit dårleg testobjekt, og resultatet du ser kan høyre til det gamle grensesnittet.

Arbeidsflyten din kan forlate appen

Ein app kan overlate til ein nettlesar for pålogging, til ein dokumentvisar eller til eit delingsmål. Under ein kun-inkluder-basis er dei hjelparane utanfor tunnelen, så ein arbeidsflyt kan svikte halvvegs sjølv om den første appen var rett konfigurert. Inkluder hjelparen berre viss arbeidsflyten verkeleg treng han, og legg han til med vilje i staden for å oppdage han under ein demo.

Appval erstattar heller ikkje rutepolicyen til tilkoplinga sjølv. Profilen må framleis bere destinasjonsprefiksa og adressefamiliane appen brukar, og gatewayen må framleis tillate tenesta. Ein rett oppført app med ein uoppnåeleg destinasjon ser lik ut som ei feilkonfigurert liste.

Test begge sider, skriv så policyen ned

Test éin fersk førespurnad i den inkluderte appen og éin i ein app som er venta å halde seg utanfor. Samanlikn utgangsadressa og tilgangen til ein privat ressurs, og gjenta etter ei gjenoppkopling. Viss organisasjonen din brukar Android sin policy for å blokkere tilkoplingar utan VPN, kan ein ekskludert app bli blokkert heilt i staden for å gå direkte; det er policyen som verkar, ikkje ein feil å rute rundt.

Noter modusen, pakkenamna med profilen, kva apper som skal omgåast, kva adressefamiliar tunnelen ber, og kva som skal skje når tunnelen er nede. Viss klienten ikkje kan uttrykke arbeidsflyten reint, vel eit breiare godkjent appsett eller ein administrert profilpolicy i staden for å redigere brannmurreglar på root-nivå, som ikkje er del av Androids støtta mekanisme per app.