د Android firewall قاعده چېرته باید وي کله چې VPN فعال وي
یوازې یو VpnService فعال کېدای شي، نو د firewall اپلیکیشن او د VPN اپلیکیشن یو بل ته نه ځنځیر کېږي. یو کاري غوښتنه وګورئ او هر قاعده هلته کېږدئ چې ټرافیک واقعاً تېرېږي.
تاسو یوه جمله پالیسي لرئ: دا اپلیکیشن کولای شي کاري خدمت ته ورسیږي، او بل هیچا ته نه. بله پوښتنه د محصول انتخاب ښکاري، خو د ځای پوښتنه ده، ځکه چې هر احتمالي پلي کوونکی نقطه د تلیفون د ټرافیک بېله برخه ویني. یو gateway یوازې هغه څه ویني چې تونل ته ننوځي. د تلیفون په اړخ کې فلټر یوازې هغه څه ویني چې اجازه ورته لري. یوه غوښتنه د دواړو له لارې تېرول ځواب روښانه کوي.
له جملې پیل کړئ، نه له محصول
مخکې له دې چې څه انتخاب کړئ، غوښتنه پراخه کړئ. دا پکېج او هغه پروفایل دی چې پکې ځي، ځکه د کاري پروفایل اپلیکیشن د شخصي پروفایل د همدې اپلیکیشن څخه بېل کارن دی. دا د مقصد معنا لري: host، port او protocol، نه د خدمت نوم. دا هغه DNS لاره معنا لري چې دا نوم حل کوي، او دا چې کله تونل نشته څه باید وشي.
لیکل شوې، د مثال پالیسي څلور کرښې لري: کاري اپلیکیشن کولای شي کاري خدمت ته ورسیږي؛ کاري اپلیکیشن بل هیچا ته نه شي رسېدلی؛ نور اپلیکیشنونه بدل نه دي؛ پرته له تونل، کاري اپلیکیشن ردېږي نه دا چې مستقیمه لاره واخلي. هرې کرښې یو مالک لري، او ټول یو مالک نه دي.
مرحله 1: تلیفون پخپله څه پلي کولای شي
د Android غیر root firewall یو VpnService دی چې ټرافیک په محلي ډول نیسي، حتی کله چې تر شا یې لرې تونل نه وي. Android په هر کارن پروفایل کې یوازې یو فعال VPN خدمت ته اجازه ورکوي، نو دوهم firewall اپلیکیشن د لومړي شاته نه ځنځیر کېږي. دا یې ځای نیسي، او هغه انټرفیس چې لومړي اپلیکیشن فلټر کاوه ورک شي.
نو ځکه د VPN کلاینټ تر څنګ firewall نصبول هغه ترکیب چې خلک یې تمه لري کم پیدا کوي. که firewall پیل شي او VPN قطع شي، هیچا سره یوځای شوي نه دي؛ دواړه ځایونه بدل کړي. د انټرفیس بدلون همکاري نه ده، او نښه یې هغه تونل دی چې هرکله بل اپلیکیشن پرانیستل شي قطع کېږي.
ملاتړ شوي ترتیبات بیا هم شته: په هغه VPN کلاینټ کې دننه فلټر چې تاسو یې لا کاروئ، د وسیلې د پالیسي کنټرول یا کاري پروفایل له لارې مدیریت شوي پلیټ فارم کنټرولونه، یا هغه معماري چې پلورونکی یې مستند کوي. هر بل څه هغه تجربه ده چې باید د هر اپلیکیشن تازه کولو وروسته بیا تایید شي.
مرحله 2: gateway څه پلي کولای شي
کله چې ټرافیک په لرې سر کې ډیکریپټ شي، gateway کولای شي لېږدول شوي پاکټونه تایید شوو آدرسونه، خدمتونو یا تصدیق شوو VPN هویتونو ته محدود کړي. دا د هر هغه څه لپاره ریښتینی پلي کول دي چې د هغې له لارې وځي، او د خصوصي سبنیټونو لاسرسي محدودولو لپاره سم ځای دی.
هغه څه چې ترلاسه نه کوي د تلیفون د اپلیکیشن هویت دی چې هر عادي IP پاکټ سره تړلی وي. څو اپلیکیشنونه چې یو د تونل آدرس شریکوي د gateway لپاره یو موضوع دي، پرته له دې چې ډیزاین ورته جلا آدرسونه یا جلا تصدیق شوي هویتونه ورکړي. نو په gateway کې د هر کارن قاعده په تلیفون کې د هر اپلیکیشن قاعده نه ده، هر څنګه چې مدیریت کنسول یې ونوموي.
مرحله 3: هغه څه ولیکئ چې هیڅکله نه رسیږي
له VPN څخه ایستل شوی اپلیکیشن چې نږدې وسیلې سره اړیکه نیسي هیڅکله gateway ته نه رسیږي، نو د وتلو firewall هغه پاکټ ردولای نه شي چې هیڅکله یې نه ترلاسه کوي. دا همدارنګه د خرابۍ پر مهال ناارادي مستقیمې لارې او په محلي لاسرسي شبکه کې د ننوتلو افشا لپاره ریښتیا ده. دا په تعریف محلي پولې دي.
برعکس هم ریښتیا دي: یوه محلي قاعده چې اړیکې ته اجازه ورکوي د gateway د خصوصي شبکې ACL له لارې لاسرسی نه ورکوي. یوه غوښتنه کولای شي دواړو پولو ته اړوند وي، او د یوې پوره کول د بلې په اړه هیڅ نه وایي.
مرحله 4: هرې قاعدې ته لاره وټاکئ
پرمخ له دې چې څه تنظیم کړئ، پریکړه په یوه جدول کې کېږدئ، ځکه تشې خانې هغه ځایونه دي چې ډیزاینونه پکې ناکامېږي.
| Path | Who can enforce it | Blind spot |
|---|---|---|
| Work app to the work service, tunnel up | Gateway ACL on address and service, plus a local block on other paths | The gateway cannot see which app sent the packet |
| Work app to other destinations, tunnel up | Local app-aware filter, or the gateway if those destinations are addressed there | The local filter must be the active VpnService |
| Work app with no tunnel | Local deny, so the app cannot take a direct path | Requires the filter to survive the tunnel going away |
| Nearby LAN device | Local policy only | The gateway never sees it |
د کار وړ بڼه دوه پولې د دوو دندو سره ده. یوه محلي اپلیکیشن-پوهاوی پوله د تلیفون چلند کنټرولوي، په شمول د مستقیم fallback، او د gateway پوله لرې سرچینې کنټرولوي. د gateway اړخ کولای شي کاري خدمت ته اجازه ورکړي او هر بل خصوصي سبنیټ رد کړي، په داسې حال کې چې د تلیفون اړخ پالیسي د هغې مستقیمې لارې په اړه پخپله پریکړه کوي چې اپلیکیشن ممکن بل ډول واخلي.
مرحله 5: ټرانسپورټ ژوندی وساتئ، بیا تایید کړئ
هره محلي پالیسي چې غوره کړئ باید هغه ټرانسپورټ ته اجازه ورکړي چې VPN جوړوي او ساتي. د دې ټرانسپورټ بندول تلیفون پرته له تونل او پرته له پالیسي پریږدي، چې په همغږي ډول هیڅ نه پلي کوي او تشخیص یې سخت دی ځکه اپلیکیشن یوازې شبکه نه لري.
بیا د اصلي جملې هره کرښه تایید کړئ نه عمومي تاثیر: کاري اپلیکیشن کاري خدمت ته رسیږي، هماغه اپلیکیشن په بل مقصد کې ردېږي، غیرکاري اپلیکیشن لکه مخکې چلند کوي، او د تونل د بندیدو سره کاري اپلیکیشن مستقیمې اړیکې ته نه ځي. د DNS لاره جلا وګورئ، ځکه خصوصي DNS یا کوډ شوی resolver کولای شي هغه فلټر واوړي چې یوازې آدرسونه ګوري.
که د دې مرحلو څخه یوه په تلیفون کې نه شي پوره کېدلی، غوښتنه د معماري پوښتنه ده نه د firewall تنظیم. پالیسي د هغې وسیلې ترمنځ ووېشل چې تاسو یې کنټرولوئ او هغه gateway ترمنځ چې تاسو یې کنټرولوئ معمولاً ریښتینی ځواب دی، او د Android VPN اړیکو مستندات هغه ځای دی چې تایید کړئ پلیټ فارم یو خدمت ته څه اجازه ورکوي او څه نه.