Zaškrtli ste jednu aplikáciu v OpenVPN? Rozhoduje základ zoznamu
Ten istý zaškrtnutý balík znamená zahrnutie alebo vylúčenie podľa základu zoznamu. Najprv zvoľte základ iba-zahrnutia, pripojte sa znova a potom otestujte celý postup.
Zaškrtávacie pole vyzerá ako celé rozhodnutie, no na Androide ním nie je. Ten istý zaškrtnutý balík znamená „iba táto aplikácia používa VPN“ pri základe iba-zahrnutia a „táto aplikácia obchádza VPN“ pri základe, ktorý vylučuje vybrané. Ľudia nainštalujú klienta, nájdu zoznam s označením Povolené aplikácie, zaškrtnú jeden balík, na ktorom im záleží, a odídu s politikou, ktorá robí opak. Výmena klienta pomáha zriedka; výber základu predtým, než sa dotknete zoznamu, pomáha.
Základ je politika, nie zaškrtávacie pole
Podľa Android VpnService klient konfiguruje smerovanie po aplikáciách pomocou addAllowedApplication alebo addDisallowedApplication. Prvý obmedzuje tunel na uvedené balíky, druhý tuneluje všetko okrem nich. Klienti oba zabalia do rozhrania, ktoré môže vyzerať takmer rovnako, a niektorí označia sekciu podľa zoznamu, nie podľa režimu, takže samotný názov sekcie nepovie, ktorý základ je aktívny.
Čítajte ovládanie režimu nad zoznamom, nie nadpis. V originálnom klientovi OpenVPN for Android má zoznam povolených aplikácií základ iba-zahrnutia a základ vylučujúci vybrané, a značkový build môže oba formulovať inak a pritom zachovať to isté správanie. Snímka obrazovky z iného klienta alebo zo staršej verzie toho istého nie je dôkazom o režime, v ktorom ste.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Tá tabuľka je celý mýtus. Zaškrtnutie aplikácie je tvrdenie o jednom balíku; základ rozhoduje, či tvrdenie znie „zahrnúť“ alebo „vylúčiť“.
Najprv režim, potom balík
Pracujte v tomto poradí, pretože výber urobený pri jednom základe môže prežiť zmenu režimu a potichu obrátiť svoj účinok:
- Identifikujte skutočný balík a či ide o osobnú kópiu alebo kópiu pracovného profilu.
- Otvorte nastavenia výberu aplikácií pre presne ten profil VPN, s ktorým sa pripájate.
- Nastavte základ, ktorého význam je „iba vybrané aplikácie používajú VPN“.
- Zahrňte zamýšľaný balík a nesúvisiace aplikácie nechajte mimo množiny.
- Pripojte sa znova, aby klient prestaval rozhranie s novým zoznamom.
Profil je rovnako dôležitý ako balík. Klient môže mať viac profilov a výber po aplikáciách patrí tomu, s ktorým sa skutočne pripájate; úprava profilu, ktorý nikdy nepoužívate, nič nemení. Na spravovanom zariadení pracovný profil je samostatný používateľ s vlastnou kópiou aplikácie a vlastnou politikou, takže to, že osobná inštancia je v tuneli, nič nehovorí o pracovnej inštancii.
Pripojte sa znova, kým výsledok posúdite
VpnService načíta zoznamy aplikácií pri vytvorení rozhrania tunela. Bežiaci tunel nemusí prebrať úpravu zoznamu a klienti sa líšia v tom, či ho prestavajú automaticky alebo čakajú, kým sa odpojíte a znova pripojíte.
Ak sa zdá, že zmena nič nerobí, otestujte opätovné pripojenie, kým začnete pochybovať o zozname. Potom urobte novú požiadavku namiesto opätovného načítania už otvorenej stránky: aplikácia, ktorá drží nadviazané spojenie, je slabý testovací objekt a výsledok, ktorý vidíte, môže patriť starému rozhraniu.
Váš postup môže opustiť aplikáciu
Aplikácia môže odovzdať úlohu prehliadaču pri prihlásení, prehliadaču dokumentov alebo cieľu zdieľania. Pri základe iba-zahrnutia sú títo pomocníci mimo tunela, takže postup môže zlyhať v polovici, aj keď bola prvá aplikácia správne nakonfigurovaná. Pomocníka zahrňte len vtedy, ak ho postup naozaj potrebuje, a pridajte ho vedome, namiesto toho, aby ste ho objavili počas ukážky.
Výber po aplikáciách nenahrádza ani vlastnú politiku trás spojenia. Profil musí naďalej prenášať cieľové prefixy a rodiny adries, ktoré aplikácia používa, a brána musí naďalej povoľovať službu. Správne uvedená aplikácia s nedosiahnuteľným cieľom vyzerá rovnako ako nesprávne nakonfigurovaný zoznam.
Otestujte obe strany, potom politiku zapíšte
Otestujte jednu novú požiadavku v zahrnutej aplikácii a jednu v aplikácii, ktorá má zostať vonku. Porovnajte výstupnú adresu a prístup k súkromnému zdroju, potom to zopakujte po opätovnom pripojení. Ak vaša organizácia používa Android politiku blokovania spojení bez VPN, vylúčená aplikácia môže byť úplne zablokovaná namiesto priameho prechodu; to je politika, ktorá funguje, nie porucha, ktorú treba obísť.
Zapíšte režim, názvy balíkov s profilom, ktoré aplikácie majú obchádzať, ktoré rodiny adries tunel prenáša a čo sa má stať, keď tunel padne. Ak klient nevie postup čisto vyjadriť, zvoľte širšiu schválenú množinu aplikácií alebo politiku spravovaného profilu namiesto úprav pravidiel firewallu na úrovni root, čo nie je súčasťou Androidom podporovaného mechanizmu po aplikáciách.