Blokowanie konfiguracji VPN na Androidzie: lista kontrolna wdrożenia
Ustal politykę, potwierdź posiadane uprawnienia, sprawdź zachowanie w poszczególnych wersjach i utrzymaj zatwierdzoną ścieżkę stałego połączenia, zanim zaczniesz egzekwować.
Ktoś prosi cię, aby uniemożliwić ludziom konfigurowanie własnego VPN na zarządzanych urządzeniach z Androidem. Kusząca odpowiedź to reguła zapory blokująca kilka znanych portów. Ta odpowiedź pomija to, jak działa platforma i jak aplikacje faktycznie się łączą.
Obsługiwana kontrola to ograniczenie zarządzania na urządzeniu lub profilu, który posiadasz, i ma ono wyraźny zakres, zachowanie zależne od wersji oraz wyjątek, który musisz świadomie skonfigurować.
Przejdź przez pięć kontroli poniżej po kolei. Każda może unieważnić plan, więc zatrzymaj się na pierwszej, która nie przejdzie.
Kontrola 1: zdecyduj, co oznacza brak VPN
Za tym samym zdaniem kryją się dwa wymagania. Jedno to, że żaden użytkownik nie może utworzyć własnego VPN. Drugie to, że działać może tylko zatwierdzony VPN organizacji. Oba są uzasadnione i dają różne konfiguracje, różne historie wsparcia i różne tryby awarii.
Zapisz, które z nich kupujesz, zanim dotkniesz konsoli zarządzania. Jeśli intencją jest jeden zatwierdzony tunel dla wszystkich, wdrażasz zatwierdzoną ścieżkę z zakazem wokół niej; jeśli intencją jest brak jakichkolwiek tuneli, musisz też przyjąć, że zmienią się ścieżki dostępu zdalnego i rozwiązywania problemów.
Pomyłka tutaj sprawi, że wdrożenie będzie wyglądać na działające, a po cichu odetnie VPN, od którego zależy eksploatacja, co zwykle odkrywa osoba pełniąca dyżur o niewygodnej porze.
Kontrola 2: potwierdź uprawnienia, które naprawdę masz
Android udostępnia to ograniczenie przez UserManager.DISALLOW_CONFIG_VPN, opisane w dokumentacji UserManager. Uniemożliwia ono konfigurację i uruchamianie VPN i nie jest ustawieniem, które zwykła aplikacja mogłaby zastosować do siebie lub do innych aplikacji.
Stosuje je upoważniony administrator: właściciel urządzenia dla całego urządzenia albo właściciel profilu dla profilu zarządzanego, przy czym te same uprawnienia ma właściciel profilu wewnątrz profilu zarządzanego. Jeśli twój EMM nie może działać jako jeden z nich, nie masz tej kontroli i żadna konfiguracja polityki w konsoli jej nie utworzy.
Zakres jest równie ważny jak uprawnienia. Ograniczenie zastosowane do profilu służbowego rządzi tym profilem, a nie osobistą stroną tego samego telefonu. Opisywanie tego jako kontroli nad wszystkim, co robi użytkownik, jest nieścisłe i sprawdzi to pierwsza osoba, która zainstaluje VPN w profilu osobistym i przekona się, że działa.
Kontrola 3: poznaj zachowanie w poszczególnych wersjach
Ograniczenie zmieniało się między wydaniami, a różnice decydują o tym, co twoje wdrożenie faktycznie zrobi na urządzeniach w terenie.
| Granica platformy | Udokumentowane zachowanie |
|---|---|
| Właściciel urządzenia lub profilu | Ograniczenie można zastosować w ramach uprawnień tego właściciela |
| API 24 i nowsze | VPN stałego połączenia skonfigurowany przez właściciela urządzenia lub profilu jest nadal uruchamiany przez system |
| API 31 i nowsze | Włączenie ograniczenia rozłącza VPN, który użytkownik już uruchomił |
To wiersz API 31 zaskakuje ludzi w środku wdrożenia: na tych urządzeniach egzekwowanie nie jest kosmetyczne, rozłącza tunel, który już działał. Zaplanuj to jako widoczne zdarzenie, a nie cichą zmianę ustawień.
Wiersz API 24 ratuje cię: VPN stałego połączenia skonfigurowany przez właściciela przeżywa ograniczenie i właśnie dlatego zatwierdzona ścieżka pozostaje dostępna.
Kontrola 4: utrzymaj zatwierdzoną ścieżkę przy życiu
Skonfiguruj i przetestuj VPN stałego połączenia organizacji przed zastosowaniem ograniczenia, a nie po. Jeśli zastosujesz je najpierw, urządzenia stracą tunel i narzędzia, którymi byś je diagnozował, jednocześnie.
Sprawdź wyraźnie trzy rzeczy: że VPN stałego połączenia tworzy właściciel, a nie użytkownik; że uruchamia się na tych urządzeniach po zastosowaniu ograniczenia; oraz że przeżywa ponowne uruchomienie. Tunel, który wstaje tylko ręcznie, nie jest zatwierdzoną ścieżką; to kolejka zgłoszeń do wsparcia.
Utrzymuj ścieżkę odzyskiwania, która nie zależy od tego, czy tunel działa. Konsola zarządzania, lokalna ścieżka administratora albo kanał poza pasmem — wszystkie działają. Nie działa założenie, że naprawisz zepsutą politykę przez połączenie, które polityka właśnie wyłączyła.
Kontrola 5: sprawdź, a potem opisz granicę uczciwie
Testuj na prawdziwym urządzeniu i prawdziwym koncie. Potwierdź, że użytkownik nie może dodać ani uruchomić VPN, potwierdź, że zatwierdzony tunel łączy się i przenosi ruch, i potwierdź, że profil osobisty nadal zachowuje się zgodnie z dokumentacją. Te trzy wyniki są kryteriami akceptacji.
Potem uważaj na to, co twierdzisz. Ograniczenie rządzi możliwością VPN w Androidzie. Nie zamienia każdego dozwolonego połączenia w protokół poddawany inspekcji i nie powstrzymuje aplikacji przed kierowaniem własnych żądań przez jawny serwer proxy. Blokowanie UDP 500, UDP 4500 i jednego OpenVPN portu nie jest tą samą kontrolą, bo ruch może podróżować wieloma transportami, w tym zwyczajnie wyglądającym HTTPS.
Jeśli wymaganie jest szersze niż możliwość VPN, połącz to z polityką dystrybucji aplikacji, kontrolami kont i ograniczeniami sieciowymi odpowiednimi do środowiska. I zapisz, co pozostaje poza zakresem, aby nikt nie powtórzył częściowego ograniczenia jako pełnego w kolejnym audycie.