Bloquear a configuração de VPN no Android: lista de verificação da implementação

Alguém pede que impeça as pessoas de configurarem a sua própria VPN em dispositivos Android geridos. A resposta tentadora é uma regra de firewall que bloqueia algumas portas conhecidas. Essa resposta ignora como a plataforma funciona e como as aplicações realmente se ligam.

O controlo suportado é uma restrição de gestão no dispositivo ou perfil que possui, e tem um âmbito explícito, um comportamento dependente da versão e uma exceção que tem de configurar deliberadamente.

Percorra as cinco verificações abaixo por ordem. Qualquer uma pode invalidar o plano, por isso pare na primeira que não se mantiver.

Verificação 1: decida o que significa nenhuma VPN

Dois requisitos escondem-se atrás da mesma frase. Um é que nenhum utilizador possa criar a sua própria VPN. O outro é que só a VPN aprovada da organização possa funcionar. Ambos são legítimos, e produzem configurações diferentes, histórias de suporte diferentes e modos de falha diferentes.

Anote qual dos dois está a comprar antes de tocar em qualquer consola de gestão. Se a intenção é um único túnel aprovado para todos, está a implementar um caminho aprovado com uma proibição em torno dele; se a intenção é não haver túneis nenhuns, também tem de aceitar que os caminhos de acesso remoto e de resolução de problemas mudam.

Engane-se aqui e a implementação parecerá funcionar enquanto corta silenciosamente a VPN da qual a operação depende, algo que normalmente descobre a pessoa de prevenção a uma hora inconveniente.

Verificação 2: confirme a autoridade que realmente tem

O Android expõe a restrição através de UserManager.DISALLOW_CONFIG_VPN, documentada na referência do UserManager. Impede a configuração e o arranque de VPN, e não é uma definição que uma aplicação comum possa aplicar a si própria ou a outras aplicações.

É aplicada por um administrador autorizado: um proprietário do dispositivo para todo o dispositivo, ou um proprietário do perfil para o perfil gerido, com a mesma autoridade disponível para um proprietário do perfil dentro do perfil gerido. Se o seu EMM não puder atuar como um destes, não tem este controlo, e nenhuma quantidade de configuração de políticas na consola o criará.

O âmbito importa tanto como a autoridade. Uma restrição aplicada a um perfil de trabalho governa esse perfil, não o lado pessoal do mesmo telefone. Descrever isso como controlo sobre tudo o que o utilizador faz é impreciso, e será testado pela primeira pessoa que instalar uma VPN no perfil pessoal e descobrir que funciona.

Verificação 3: conheça o comportamento por versão

A restrição mudou entre versões, e as diferenças decidem o que a sua implementação fará realmente nos dispositivos no terreno.

A linha da API 31 é a que surpreende as pessoas a meio da implementação: nesses dispositivos a aplicação não é cosmética, desliga um túnel que já estava a funcionar. Planeie isso como um evento visível e não como uma alteração silenciosa de definições.

A linha da API 24 é a que o salva: uma VPN de conexão permanente configurada pelo proprietário sobrevive à restrição, e é assim que o caminho aprovado continua disponível.

Verificação 4: mantenha vivo o caminho aprovado

Configure e teste a VPN de conexão permanente da organização antes de aplicar a restrição, não depois. Se aplicar primeiro, os dispositivos perdem o túnel e as ferramentas com que os diagnosticaria ao mesmo tempo.

Verifique três coisas de forma explícita: que a VPN de conexão permanente é criada pelo proprietário e não pelo utilizador, que arranca nesses dispositivos após a aplicação e que sobrevive a um reinício. Um túnel que só sobe manualmente não é um caminho aprovado; é uma fila de tickets de suporte.

Mantenha uma via de recuperação que não dependa de o túnel estar ativo. Uma consola de gestão, um caminho de administrador local ou um canal fora de banda funcionam. O que não funciona é assumir que pode corrigir uma política avariada através da ligação que a política acabou de desativar.

Verificação 5: verifique e depois descreva o limite com honestidade

Teste com um dispositivo real e uma conta real. Confirme que um utilizador não pode adicionar nem iniciar uma VPN, confirme que o túnel aprovado liga e transporta tráfego, e confirme que o perfil pessoal continua a comportar-se como documentado. Esses três resultados são os critérios de aceitação.

Depois tenha cuidado com o que afirma. A restrição governa a capacidade de VPN do Android. Não transforma cada ligação permitida num protocolo inspecionado, nem impede uma aplicação de encaminhar os seus próprios pedidos através de um proxy explícito. Bloquear UDP 500, UDP 4500 e uma OpenVPN porta não é o mesmo controlo, porque o tráfego pode viajar por muitos transportes, incluindo HTTPS de aparência comum.

Se o requisito for mais amplo do que a capacidade de VPN, combine isto com política de distribuição de aplicações, controlos de conta e restrições de rede adequadas ao ambiente. E registe o que fica fora do âmbito, para que ninguém repita uma restrição parcial como completa na próxima auditoria.