Dlaczego VPN dla wybranych aplikacji nie obejmuje kopii służbowej aplikacji na Androida

Jedna aplikacja pojawia się dwa razy na telefonie z profilem służbowym, a te dwie kopie nie są tym samym podmiotem. VPN dla wybranych aplikacji skonfigurowany w jednym kontekście rządzi instancją tego kontekstu, dlatego reguła wskazująca pakiet może nadal pozostawić drugą kopię nietkniętą. To nie usterka do obejścia, to granica profilu robiąca dokładnie to, do czego została zaprojektowana. Pytanie, na które warto odpowiedzieć, brzmi: który kontekst posiada VPN, a który posiada aplikację, którą próbujesz chronić.

Jedna ikona, dwie instalacje, dwóch właścicieli polityki

Android daje profilowi służbowemu własny zarządzany kontekst, z osobnymi aplikacjami, kontami i polityką, więc launcher może pokazać dwa wpisy dzielące nazwę i odznakę. Usługa VPN uruchomiona w jednym kontekście działa dla użytkowników tego kontekstu i to jest mechanizm stojący za całym problemem. Ikona mówi, którą aplikację dotknąłeś, a nie do którego profilu należy powstały ruch. Dlatego właściciela trzeba czytać z profilu, a nie z obrazka.

Organizacja może też wymusić tryb zawsze włączony albo blokowanie bez VPN po stronie zarządzanej, co zmienia to, co się dzieje, gdy tunel jest niedostępny. Strona prywatna nie ma takiej gwarancji, chyba że sam ją zbudowałeś.

Co naprawdę oznacza lista dozwolonych aplikacji

Obsługa VPN dla wybranych aplikacji w Androidzie opiera się na listach, co opisano w przewodniku po użytkownikach VPN i profilach służbowych i dwa typy list mają przeciwne wartości domyślne. Lista dozwolonych aplikacji oznacza, że tunelu używają tylko nazwane pakiety, a wszystko inne jest wykluczone, natomiast lista niedozwolonych aplikacji oznacza, że wszystko jest objęte oprócz nazwanych pakietów. Pomyl to i zbudujesz przeciwieństwo zamierzonej polityki, podczas gdy ekran ustawień wciąż wygląda wiarygodnie. Lista jest oceniana w kontekście, w którym działa VPN, więc nazwa pakietu obecna w obu profilach pasuje tylko do kopii w tym kontekście. Pakiet niewymieniony w drugim profilu po prostu nie jest sprawą tego VPN.

Zapisz zachowanie dla dwóch lub trzech aplikacji, które się liczą, bo różnica między wszystko-oprócz i tylko-te decyduje o tym, czy prywatna aplikacja wycieknie obok tunelu, czy zawiedzie w trybie zamkniętym. Mała tabela wygrywa tu z akapitem: jeden wiersz na profil, z typem listy i wartością domyślną dla całej reszty.

Która strona prowadzi tunel i pod czyją polityką

Konsumencki VPN nie zdejmuje kontroli organizacji z profilu zarządzanego, a VPN profilu służbowego nie jest ogólnym tunelem dla prywatnych aplikacji. Jeśli organizacja wymaga własnego klienta dla zarządzanych aplikacji, klient prywatny jest osobnym ustaleniem z własną polityką i własnymi trybami awarii. Zdecyduj, który mechanizm ma przenosić który ruch, zanim porównasz wyniki, inaczej mierzysz dwa systemy i nazywasz różnicę usterką. W obrębie własnego kontekstu strona zarządzana zwykle wygrywa i jest to zamierzone zachowanie.

Kłopotliwy przypadek to zarządzana aplikacja, która potrzebuje trasy, której zarządzana polityka nie zapewnia. To wniosek o wyjątek do organizacji, a nie powód, by wyłączać profil służbowy.

Testowanie instancji, o którą naprawdę chodziło

Uruchom kopię, na której ci zależy, i obejrzyj żądanie od środka, bo sprawdzenie publicznego adresu w prywatnej przeglądarce nic nie mówi o aplikacji służbowej. Sprawdź osobno zalogowane konto i wewnętrzne rozwiązywanie nazw, ponieważ nazwa wewnętrzna może zależeć od zarządzanej trasy, podczas gdy publiczne przeglądanie odbywa się gdzie indziej. Zanotuj, która kopia dała który wynik w chwili testu, i umieść profil w etykiecie; zrzut ekranu z dwiema identycznymi ikonami nie jest dowodem. Powtórz sprawdzenie po ponownym połączeniu i po odtworzeniu profilu, bo polityka może zostać zastosowana ponownie.

Jeśli nie potrafisz powiedzieć, która kopia odpowiedziała, napraw etykietowanie, zanim wyciągniesz jakikolwiek wniosek. Niejednoznaczny wynik jest gorszy niż brak wyniku, bo później cytuje się go tak, jakby rozstrzygnął sprawę.

Dokumentowanie pokrycia, żeby przetrwał następny test

Zapisuj trzy fakty razem dla każdego kontekstu: instancję aplikacji, właściciela polityki i oczekiwane pokrycie. To wystarczy następnej osobie, by odtworzyć twój test bez zgadywania, którą ikonę uruchomiła. Dodaj typ listy i wartość domyślną dla pakietów niewymienionych, bo właśnie tę część ludzie najczęściej czytają błędnie.

Następnie sprawdź jedną nazwę wewnętrzną i jeden adres zewnętrzny z każdej strony i zapisz, co powinno się stać, gdy strona zarządzana zablokuje prywatny VPN. Telefon, w którym żadna ze stron nie jest objęta, choć obie wyglądają na połączone, to awaria, przeciw której warto projektować. Gdy oba profile naprawdę potrzebują tunelu, zaplanuj dwa ustalenia zamiast jednej sprytnej reguły.