Zabrana VPN konfiguracije na Androidu: kontrolna lista za uvođenje
Odlučite o politici, potvrdite ovlaštenje koje imate, provjerite ponašanje po verzijama i održite odobrenu stalnu putanju živom prije nego što primijenite ograničenje.
Neko vas zamoli da spriječite ljude da konfigurišu vlastiti VPN na upravljanim Android uređajima. Primamljiv odgovor je pravilo firewall-a koje blokira nekoliko poznatih portova. Taj odgovor promašuje kako platforma radi i kako se aplikacije zapravo povezuju.
Podržana kontrola je upravljačko ograničenje na uređaju ili profilu koji posjedujete, a ima jasan obim, ponašanje zavisno od verzije i izuzetak koji morate namjerno konfigurisati.
Prođite kroz pet provjera ispod po redu. Svaka može poništiti plan, pa stanite na prvoj koja ne održi.
Provjera 1: odlučite šta znači nikakav VPN
Iza iste rečenice kriju se dva zahtjeva. Jedan je da nijedan korisnik ne smije kreirati vlastiti VPN. Drugi je da smije raditi samo odobreni VPN organizacije. Oba su legitimna i daju različite konfiguracije, različite priče o podršci i različite načine otkaza.
Zapišite koji od njih kupujete prije nego što dotaknete upravljačku konzolu. Ako je namjera jedan odobreni tunel za sve, provodite odobrenu putanju sa zabranom oko nje; ako je namjera nikakvi tuneli, morate prihvatiti i da se putanje daljinskog pristupa i otklanjanja problema mijenjaju.
Pogriješite li ovdje, uvođenje izgleda kao da radi dok tiho odsijeca VPN o kojem ovisi operativa, a to obično otkrije dežurni u nezgodno vrijeme.
Provjera 2: potvrdite ovlaštenje koje zaista imate
Android izlaže ograničenje kroz UserManager.DISALLOW_CONFIG_VPN, dokumentirano u referenci UserManager. Ono sprječava konfiguraciju i pokretanje VPN-a i nije postavka koju obična aplikacija može primijeniti na sebe ili na druge aplikacije.
Primjenjuje ga ovlašteni administrator: vlasnik uređaja za cijeli uređaj ili vlasnik profila za upravljani profil, a isto ovlaštenje dostupno je vlasniku profila unutar upravljanog profila. Ako vaš EMM ne može djelovati kao jedan od njih, nemate ovu kontrolu i nikakva konfiguracija politike u konzoli je neće stvoriti.
Obim je jednako važan kao ovlaštenje. Ograničenje primijenjeno na radni profil upravlja tim profilom, a ne ličnom stranom istog telefona. Opisivati to kao kontrolu nad svime što korisnik radi nije točno i testirat će to prva osoba koja instalira VPN u lični profil i vidi da radi.
Provjera 3: poznajte ponašanje po verzijama
Ograničenje se mijenjalo kroz izdanja, a razlike odlučuju šta će vaše uvođenje zapravo učiniti na uređajima na terenu.
| Granica platforme | Dokumentirano ponašanje |
|---|---|
| Vlasnik uređaja ili profila | Ograničenje se može primijeniti pod ovlaštenjem tog vlasnika |
| API 24 i noviji | Stalni VPN koji je konfigurisao vlasnik uređaja ili profila sistem i dalje pokreće |
| API 31 i noviji | Uključivanje ograničenja prekida VPN koji je korisnik već pokrenuo |
Red za API 31 je onaj koji iznenadi ljude usred uvođenja: na tim uređajima primjena nije kozmetička, ona prekida tunel koji je već radio. Planirajte to kao vidljiv događaj, a ne kao tihu promjenu postavki.
Red za API 24 je onaj koji vas spašava: stalni VPN koji je konfigurisao vlasnik preživljava ograničenje i tako odobrena putanja uopće ostaje dostupna.
Provjera 4: održite odobrenu putanju živom
Konfigurišite i testirajte stalni VPN organizacije prije nego što primijenite ograničenje, a ne poslije. Ako prvo primijenite, uređaji izgube tunel i alate kojima biste ih dijagnosticirali istovremeno.
Provjerite tri stvari izričito: da stalni VPN kreira vlasnik, a ne korisnik; da se pokreće na tim uređajima nakon primjene; i da preživljava restart. Tunel koji se podiže samo ručno nije odobrena putanja; to je red zahtjeva za podršku.
Držite putanju oporavka koja ne zavisi od toga da je tunel aktivan. Upravljačka konzola, lokalna admin putanja ili vanpojasni kanal sve rade. Ne radi pretpostavka da možete popraviti pokvarenu politiku kroz vezu koju je politika upravo onemogućila.
Provjera 5: provjerite, pa opišite granicu iskreno
Testirajte na stvarnom uređaju i stvarnom računu. Potvrdite da korisnik ne može dodati ni pokrenuti VPN, potvrdite da se odobreni tunel povezuje i prenosi saobraćaj, i potvrdite da se lični profil i dalje ponaša kako je dokumentirano. Ta tri rezultata su kriteriji prihvatanja.
Zatim pazite šta tvrdite. Ograničenje upravlja VPN mogućnošću Androida. Ono ne pretvara svaku dozvoljenu vezu u pregledani protokol i ne sprječava aplikaciju da vlastite zahtjeve usmjeri kroz eksplicitni proxy. Blokiranje UDP 500, UDP 4500 i jednog OpenVPN porta nije ista kontrola, jer saobraćaj može putovati kroz mnoge transporte, uključujući obično izgledajući HTTPS.
Ako je zahtjev širi od VPN mogućnosti, spojite to s politikom distribucije aplikacija, kontrolama računa i mrežnim ograničenjima primjerenim okruženju. I zapišite šta ostaje izvan obima, da niko ne ponovi djelomično ograničenje kao potpuno u sljedećoj reviziji.