Krysset av én app i OpenVPN? Listens basisavgjørelse bestemmer
Samme avkryssede pakke betyr inkluder eller ekskluder avhengig av listens basis. Velg kun-inkluder først, koble til på nytt, og test hele arbeidsflyten.
Avkrysningsboksen ser ut som hele beslutningen, og på Android er den ikke det. Samme avkryssede pakke betyr «bare denne appen bruker VPN» under en kun-inkluder-basis og «denne appen hopper over VPN» under en basis som ekskluderer de valgte. Folk installerer en klient, finner en liste merket Tillatte apper, krysser av den ene pakken de bryr seg om, og går derfra med en policy som gjør det motsatte. Å bytte klient hjelper sjelden; å velge basisen før du rører listen hjelper.
Basisen er policyen, ikke avkrysningsboksen
Under Androids VpnService konfigurerer en klient ruting per app med addAllowedApplication eller addDisallowedApplication. Den første begrenser tunnelen til de oppførte pakkene, den andre tunnelerer alt unntatt dem. Klienter pakker de to inn i et grensesnitt som kan se nesten identisk ut, og noen merker seksjonen etter listen i stedet for modusen, så seksjonstittelen alene kan ikke fortelle deg hvilken basis som er aktiv.
Les moduskontrollen over listen, ikke overskriften. I upstream OpenVPN for Android-klienten har listen over tillatte apper en kun-inkluder-basis og en basis som ekskluderer de valgte, og et merkevarebygget bygg kan formulere begge annerledes mens det beholder de samme to atferdene. Et skjermbilde fra en annen klient, eller fra en eldre versjon av den samme, er ikke bevis om modusen du er i.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Den tabellen er hele myten. Å krysse av appen er en uttalelse om én pakke; basisen avgjør om uttalelsen er «inkluder» eller «ekskluder».
Velg modusen, så pakken
Arbeid i denne rekkefølgen, fordi et valg gjort under én basis kan overleve en modusendring og stille snu effekten sin:
- Identifiser den virkelige pakken og om det er den personlige eller arbeidsprofilkopien.
- Åpne innstillingene for appvalg for nøyaktig den VPN-profilen du kobler til med.
- Sett basisen hvis betydning er «bare valgte apper bruker VPN».
- Inkluder den tiltenkte pakken og la urelaterte apper være utenfor settet.
- Koble til på nytt slik at klienten bygger grensesnittet på nytt med den nye listen.
Profilen er like viktig som pakken. En klient kan ha flere profiler, og appvalget tilhører den du faktisk kobler til med; å redigere en profil du aldri bruker endrer ingenting. På en administrert enhet er arbeidsprofilen en egen bruker med sin egen appkopi og sin egen policy, så at den personlige instansen er inne i tunnelen sier ingenting om arbeidsinstansen.
Koble til på nytt før du vurderer resultatet
VpnService leser applistene når tunnelgrensesnittet etableres. En tunnel som kjører tar ikke nødvendigvis opp en listes endring, og klienter er ulike på om de bygger på nytt automatisk eller venter på at du kobler fra og til igjen.
Hvis endringen ser ut til å gjøre ingenting, test gjentilkoblingen før du tviler på listen. Gjør deretter en fersk forespørsel i stedet for å laste inn en side som allerede var åpen: en app som holder en etablert tilkobling er et dårlig testobjekt, og resultatet du ser kan tilhøre det gamle grensesnittet.
Arbeidsflyten din kan forlate appen
En app kan overlate til en nettleser for pålogging, til en dokumentviser eller til et delingsmål. Under en kun-inkluder-basis er de hjelperne utenfor tunnelen, så en arbeidsflyt kan svikte halvveis selv om den første appen var riktig konfigurert. Inkluder hjelperen bare hvis arbeidsflyten virkelig trenger den, og legg den til med vilje i stedet for å oppdage den under en demo.
Appvalg erstatter heller ikke tilkoblingens egen rutepolicy. Profilen må fortsatt bære destinasjonsprefiksene og adressefamiliene appen bruker, og gatewayen må fortsatt tillate tjenesten. En riktig oppført app med en uoppnåelig destinasjon ser lik ut som en feilkonfigurert liste.
Test begge sider, skriv så policyen ned
Test én fersk forespørsel i den inkluderte appen og én i en app som forventes å holde seg utenfor. Sammenlign utgangsadressen og tilgangen til en privat ressurs, og gjenta etter en gjentilkobling. Hvis organisasjonen din bruker Androids policy for å blokkere tilkoblinger uten VPN, kan en ekskludert app bli blokkert helt i stedet for å gå direkte; det er policyen som virker, ikke en feil å rute rundt.
Noter modusen, pakkenavnene med profilen, hvilke apper som skal omgås, hvilke adressefamilier tunnelen bærer, og hva som skal skje når tunnelen er nede. Hvis klienten ikke kan uttrykke arbeidsflyten rent, velg et bredere godkjent appsett eller en administrert profilpolicy i stedet for å redigere brannmurregler på root-nivå, som ikke er en del av Androids støttede mekanisme per app.