Ați bifat o singură aplicație în OpenVPN? Baza listei decide
Același pachet bifat înseamnă includere sau excludere în funcție de baza listei. Alegeți mai întâi doar-includere, reconectați-vă, apoi testați întregul flux.
Căsuța de bifă pare întreaga decizie, iar pe Android nu este. Același pachet bifat înseamnă „doar această aplicație folosește VPN-ul” sub o bază doar-includere și „această aplicație ocolește VPN-ul” sub o bază care le exclude pe cele selectate. Oamenii instalează un client, găsesc o listă etichetată Aplicații permise, bifează singurul pachet care îi interesează și pleacă cu o politică ce face opusul. Schimbarea clientului ajută rar; alegerea bazei înainte de a atinge lista ajută.
Baza este politica, nu căsuța de bifă
Conform VpnService din Android, un client configurează rutarea pe aplicație cu addAllowedApplication sau addDisallowedApplication. Prima limitează tunelul la pachetele listate, a doua tunelează tot restul. Clienții le împachetează pe ambele într-o interfață care poate arăta aproape identic, iar unii etichetează secțiunea după listă, nu după mod, așa că titlul secțiunii singur nu poate spune care bază este activă.
Citiți controlul modului de deasupra listei, nu titlul. În clientul OpenVPN for Android original, lista aplicațiilor permise are o bază doar-includere și una care le exclude pe cele selectate, iar o compilare de marcă poate formula ambele altfel păstrând aceleași două comportamente. O captură de ecran dintr-un alt client, sau dintr-o versiune mai veche a aceluiași, nu este dovadă despre modul în care sunteți.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Tabelul acela este întregul mit. Bifarea aplicației este o afirmație despre un singur pachet; baza decide dacă afirmația este „include” sau „exclude”.
Alegeți modul, apoi pachetul
Lucrați în această ordine, pentru că o selecție făcută sub o bază poate supraviețui unei schimbări de mod și își poate inversa efectul în tăcere:
- Identificați pachetul real și dacă este copia personală sau cea din profilul de lucru.
- Deschideți setările de selecție a aplicațiilor pentru exact profilul VPN cu care vă conectați.
- Setați baza al cărei sens este „doar aplicațiile selectate folosesc VPN-ul”.
- Includeți pachetul dorit și lăsați aplicațiile nelegate în afara setului.
- Reconectați-vă ca clientul să reconstruiască interfața cu lista nouă.
Profilul contează la fel de mult ca pachetul. Un client poate avea mai multe profiluri, iar selecția pe aplicație aparține celui cu care vă conectați de fapt; editarea unui profil pe care nu îl folosiți niciodată nu schimbă nimic. Pe un dispozitiv administrat, profilul de lucru este un utilizator separat cu propria copie a aplicației și propria politică, așa că faptul că instanța personală este în tunel nu spune nimic despre instanța de lucru.
Reconectați-vă înainte de a judeca rezultatul
VpnService citește listele de aplicații când interfața tunelului este stabilită. Un tunel care rulează nu preia neapărat o modificare a listei, iar clienții diferă în privința reconstruirii automate sau a așteptării deconectării și reconectării.
Dacă modificarea pare să nu facă nimic, testați reconectarea înainte de a vă îndoi de listă. Apoi faceți o cerere nouă în loc să reîncărcați o pagină deja deschisă: o aplicație care ține o conexiune stabilită este un subiect slab de test, iar rezultatul văzut poate aparține interfeței vechi.
Fluxul dumneavoastră poate ieși din aplicație
O aplicație poate preda lucrul unui browser pentru autentificare, unui vizualizator de documente sau unei ținte de partajare. Sub o bază doar-includere acei ajutoare sunt în afara tunelului, așa că un flux poate eșua la jumătate chiar dacă prima aplicație a fost configurată corect. Includeți ajutorul doar dacă fluxul are într-adevăr nevoie de el și adăugați-l deliberat, nu descoperindu-l în timpul unei demonstrații.
Selecția pe aplicație nu înlocuiește nici politica de rute a conexiunii în sine. Profilul trebuie să transporte în continuare prefixele de destinație și familiile de adrese folosite de aplicație, iar gateway-ul trebuie să permită în continuare serviciul. O aplicație listată corect, cu o destinație de neatins, arată la fel ca o listă configurată greșit.
Testați ambele părți, apoi scrieți politica
Testați o cerere nouă în aplicația inclusă și una într-o aplicație care ar trebui să rămână afară. Comparați adresa de ieșire și accesul la o resursă privată, apoi repetați după o reconectare. Dacă organizația dumneavoastră folosește politica Android de blocare a conexiunilor fără VPN, o aplicație exclusă poate fi blocată complet în loc să meargă direct; asta înseamnă că politica funcționează, nu o defecțiune de ocolit.
Notați modul, numele pachetelor împreună cu profilul, ce aplicații ar trebui să ocolească, ce familii de adrese transportă tunelul și ce ar trebui să se întâmple când tunelul cade. Dacă clientul nu poate exprima clar fluxul, alegeți un set mai larg de aplicații aprobate sau o politică de profil administrat în loc să editați reguli de firewall la nivel root, ceea ce nu face parte din mecanismul pe aplicație acceptat de Android.