Zablokovanie konfigurácie VPN na Androide: kontrolný zoznam nasadenia
Rozhodnite o politike, potvrďte oprávnenie, ktoré máte, overte správanie podľa verzií a udržte schválenú cestu trvalého pripojenia živú predtým, než ju vynútite.
Niekto vás požiada, aby ste zabránili ľuďom konfigurovať si vlastnú VPN na spravovaných zariadeniach Android. Lákavá odpoveď je pravidlo firewallu, ktoré zablokuje niekoľko známych portov. Tá odpoveď však prehliada, ako platforma funguje a ako sa aplikácie v skutočnosti pripájajú.
Podporovaná kontrola je obmedzenie správy na zariadení alebo profile, ktorý vlastníte, a má výslovný rozsah, správanie závislé od verzie a výnimku, ktorú musíte zámerne nakonfigurovať.
Prejdite päť kontrol nižšie v poradí. Každá môže plán zneplatniť, takže sa zastavte pri prvej, ktorá neobstojí.
Kontrola 1: rozhodnite, čo znamená žiadna VPN
Za tou istou vetou sa skrývajú dve požiadavky. Jedna je, že žiadny používateľ nesmie vytvoriť vlastnú VPN. Druhá je, že smie bežať iba schválená VPN organizácie. Obe sú legitímne a vedú k rôznym konfiguráciám, rôznym príbehom podpory a rôznym režimom zlyhania.
Napíšte si, ktorú z nich kupujete, skôr než sa dotknete akejkoľvek konzoly správy. Ak je zámerom jediný schválený tunel pre všetkých, zavádzate schválenú cestu so zákazom okolo nej; ak je zámerom žiadne tunely, musíte prijať aj to, že cesty vzdialeného prístupu a riešenia problémov sa zmenia.
Pomýlite sa tu a nasadenie bude vyzerať, že funguje, a pritom potichu odreže VPN, na ktorej závisí prevádzka; zvyčajne to zistí človek na pohotovosti v nevhodnú hodinu.
Kontrola 2: potvrďte oprávnenie, ktoré skutočne máte
Android sprístupňuje toto obmedzenie cez UserManager.DISALLOW_CONFIG_VPN, dokumentované v referencii UserManager. Bráni konfigurácii a spusteniu VPN a nie je to nastavenie, ktoré by bežná aplikácia mohla uplatniť na seba alebo na iné aplikácie.
Uplatňuje ho oprávnený správca: vlastník zariadenia pre celé zariadenie alebo vlastník profilu pre spravovaný profil, pričom rovnaké oprávnenie má aj vlastník profilu vnútri spravovaného profilu. Ak váš EMM nemôže vystupovať ako jeden z nich, túto kontrolu nemáte a žiadna konfigurácia politík v konzole ju nevytvorí.
Rozsah je rovnako dôležitý ako oprávnenie. Obmedzenie uplatnené na pracovný profil riadi tento profil, nie osobnú časť toho istého telefónu. Opisovať to ako kontrolu nad všetkým, čo používateľ robí, je nepresné a vyskúša to prvý človek, ktorý si nainštaluje VPN v osobnom profile a zistí, že funguje.
Kontrola 3: poznajte správanie podľa verzií
Obmedzenie sa medzi vydaniami menilo a rozdiely rozhodujú o tom, čo vaše nasadenie na zariadeniach v teréne skutočne urobí.
| Hranica platformy | Dokumentované správanie |
|---|---|
| Vlastník zariadenia alebo profilu | Obmedzenie možno uplatniť pod oprávnením tohto vlastníka |
| API 24 a novšie | Trvalú VPN, ktorú nakonfiguroval vlastník zariadenia alebo profilu, systém stále spúšťa |
| API 31 a novšie | Zapnutie obmedzenia odpojí VPN, ktorú používateľ už mal spustenú |
Práve riadok API 31 prekvapí ľudí uprostred nasadenia: na týchto zariadeniach nie je vynútenie kozmetické, odpojí tunel, ktorý už bežal. Naplánujte to ako viditeľnú udalosť, nie ako tichú zmenu nastavení.
Riadok API 24 vás zachráni: trvalá VPN nakonfigurovaná vlastníkom obmedzenie prežije, a tak zostáva schválená cesta vôbec dostupná.
Kontrola 4: udržte schválenú cestu živú
Nakonfigurujte a otestujte trvalú VPN organizácie skôr, než obmedzenie vynútite, nie potom. Ak ho vynútite ako prvé, zariadenia stratia tunel aj nástroje, ktorými by ste ich diagnostikovali, naraz.
Overte výslovne tri veci: že trvalú VPN vytvára vlastník, a nie používateľ; že sa na týchto zariadeniach po vynútení spustí; a že prežije reštart. Tunel, ktorý sa zdvihne iba ručne, nie je schválená cesta; je to rad žiadostí o podporu.
Udržujte cestu obnovy, ktorá nezávisí od toho, či tunel beží. Konzola správy, miestna administrátorská cesta alebo mimopásmový kanál fungujú všetky. Nefunguje predpoklad, že pokazenú politiku opravíte cez spojenie, ktoré politika práve vypnula.
Kontrola 5: overte a potom opíšte hranicu čestne
Testujte na skutočnom zariadení a skutočnom účte. Potvrďte, že používateľ nemôže pridať ani spustiť VPN, potvrďte, že sa schválený tunel pripojí a prenáša prevádzku, a potvrďte, že osobný profil sa stále správa podľa dokumentácie. Tieto tri výsledky sú akceptačné kritériá.
Potom si dávajte pozor na to, čo tvrdíte. Obmedzenie riadi schopnosť VPN v Androide. Nepremieňa každé povolené spojenie na kontrolovaný protokol a nebráni aplikácii smerovať vlastné požiadavky cez explicitnú proxy. Blokovanie UDP 500, UDP 4500 a jedného OpenVPN portu nie je tá istá kontrola, pretože prevádzka môže putovať mnohými transportmi, vrátane bežne vyzerajúceho HTTPS.
Ak je požiadavka širšia než schopnosť VPN, skombinujte to s politikou distribúcie aplikácií, kontrolami účtov a sieťovými obmedzeniami vhodnými pre prostredie. A zapíšte, čo zostáva mimo rozsahu, aby nikto v nasledujúcom audite nezopakoval čiastočné obmedzenie ako úplné.