Radna aplikacija traži VPN? Prvo provjerite ova tri sloja

Poruka kaže da aplikaciji treba VPN, ali obično aplikacija prijavljuje simptom umjesto da imenuje ono što ju je blokiralo. Tri različita vlasnika mogu proizvesti tu rečenicu: privatna usluga s kojom aplikacija razgovara, vlastiti kod politike aplikacije i sloj upravljanja uređajem koji kontroliše radni profil. Koji od njih pita mijenja ono što biste trebali uraditi, i samo se jedan od trojice popravlja spajanjem tunela. Pronalaženje vlasnika najprije štedi vas ponovne instalacije klijenta koji nikada nije bio problem.

Šta aplikacija može sama provjeriti

Prije nego pretpostavite skriveno pravilo platforme, sjetite se da obična aplikacija može vidjeti je li transport VPN aktivan. ConnectivityManager izvještava o mrežama koje nose TRANSPORT_VPN, a odsustvo NET_CAPABILITY_NOT_VPN govori svakom pozivaocu da trenutni put prolazi kroz tunel. Programer koji želi odbiti rad izvan tunela može to uraditi javnim API-jima i posve bez korporativnih alata.

Ono što aplikacija tako ne može vidjeti jest čiji je VPN. Zastavica transporta kaže da tunel postoji, ne da završava ondje gdje vaša organizacija očekuje.

Put usluge: privatna imena i adrese

Najčešća iskrena verzija poruke uopće nije provjera politike. Aplikacija razrješava interno ime hosta, poput wikija ili krajnje točke API-ja koja postoji samo unutar korporativnog DNS prikaza, i pretraga ne uspijeva prije nego se pokrene ikakav kod politike. Tunel može biti aktivan i propuštati opći internetski promet dok podijeljeni DNS šalje to ime razrješivaču koji o njemu nikada nije čuo.

Simptomi su ovdje uski. Jedan host zakaže, ostali mrežni pozivi aplikacije rade, a kvar se pojavljuje tokom pretrage imena, a ne pri pokretanju. Interni certifikati dodaju drugi način kvara, jer aplikacija prikvačena za CA organizacije odbija javni certifikat čak i kad paketi teku.

Spajanje bilo kojeg komercijalnog VPN-a ne ispravlja ništa od toga. Mijenja vašu izlaznu adresu i ostavlja interno ime jednako nerazrješivim.

Sloj politike aplikacije

Aplikacija može nositi i vlastita vrata. Upravljane konfiguracije omogućavaju organizaciji da gura parove ključa i vrijednosti koje aplikacija deklarira, a aplikacija ih čita kroz RestrictionManager. Ključ poput potrebnog naziva profila ili liste dozvoljenih mreža posve je dizajn programera, proveden u kodu aplikacije s tekstom greške koji taj kod odabere.

Ovaj je sloj mjesto gdje formulacija obično oda. Ako se poruka pojavi odmah pri pokretanju, prije ikakvog mrežnog poziva, i spominje politiku, profil ili administratora, vjerojatno gledate logiku aplikacije, a ne ispušteni paket.

Čitanje istog ograničenja na ličnom uređaju je slijepa ulica. Neupravljani uređaji nemaju ograničenja za čitanje, pa aplikacija pada natrag na bilo koju zadanu vrijednost s kojom je izgrađena.

Sloj platforme: stalno uključeno i zaključavanje

Upravljanje uređajem dodaje provedbu koju aplikacija ne može zaobići. Kontroler politike uređaja može pozvati setAlwaysOnVpnPackage za radni profil, neobavezno s uključenim zaključavanjem, i kad je zaključavanje uključeno, platforma odbija promet koji ne ide kroz taj paket. Blokada je vidljiva kao stanje sustava, a ne kao greška aplikacije: i druge aplikacije u profilu prestaju dosezati mrežu.

Opseg je važan. Stalni VPN konfigurira se po korisniku, pa paket radnog profila ne pokriva vaš lični profil, a lični VPN ne zadovoljava paket radnog profila. Dva profila, dvije neovisne mrežne politike, jedan uređaj.

To je i jedini sloj na kojem nepovezani VPN ne može pomoći, jer politika imenuje jedan određeni paket.

Razlikovanje trojice

Prođite kroz signale redom i zaustavite se na prvom koji se podudara. Jedno ime hosta zakaže dok se sve ostalo razrješava, upućuje na put usluge. Trenutačno odbijanje pri pokretanju s formulacijom politike upućuje na logiku aplikacije. Cijeli profil gubi povezanost kad god se odobreni klijent odspoji, upućuje na zaključavanje. A aplikacija koja prihvaća bilo kakav tunel provjerava zastavicu transporta, a ne identitet vaše organizacije.

Korisni dokazi: točan tekst i njegovo vrijeme, imaju li druge aplikacije u istom profilu još povezanost, razrješava li se privatno ime unutar odobrenog tunela i pokazuje li uređaj radnu značku za aplikaciju koju ste otvorili.

Šta staviti u zahtjev za podršku

Zahtjev koji imenuje sloj biva ispravno usmjeren iz prvog pokušaja. Nešto poput: aplikacija radnog profila se otvara, lista resursa zakaže nakon što se odobreni VPN poveže, razrješavanje privatnog imena zakaže u dozvoljenoj dijagnostici, a ostale aplikacije u profilu nastavljaju raditi. To se čita kao problem rute ili razrješivača i preskače petlju ponovnog postavljanja računa.

Ako odobreni VPN posve nedostaje, podržani put je upis ili ponovno osiguravanje kroz vašeg administratora. Uklanjanje profila upravljanja, instaliranje nepovezanog klijenta ili lažiranje mrežnog stanja mijenja sigurnosni raspored umjesto da ga obnovi.

Počnite slojem, a ne klijentom. Tri signala gore obično to riješe u jednoj sesiji.