Pracovná aplikácia vyžaduje VPN? Najprv skontrolujte tieto tri vrstvy

Správa hovorí, že aplikácia potrebuje VPN, ale zvyčajne aplikácia hlási príznak namiesto toho, aby pomenovala vec, ktorá ju zablokovala. Tú vetu môžu vytvoriť traja rôzni zodpovední: súkromná služba, s ktorou aplikácia komunikuje, vlastný kód politiky aplikácie a vrstva správy zariadenia, ktorá riadi pracovný profil. Ktorý z nich sa pýta, mení to, čo by ste mali urobiť, a iba jeden z troch sa opraví pripojením tunela. Nájsť zodpovedného najprv vám ušetrí preinštalovanie klienta, ktorý nikdy nebol problémom.

Čo môže aplikácia skontrolovať sama

Skôr než predpokladáte skryté pravidlo platformy, pamätajte, že bežná aplikácia dokáže zistiť, či je transport VPN aktívny. ConnectivityManager hlási siete nesúce TRANSPORT_VPN a absencia NET_CAPABILITY_NOT_VPN hovorí každému volajúcemu, že aktuálna cesta ide cez tunel. Vývojár, ktorý chce odmietnuť beh mimo tunela, to môže urobiť pomocou verejných API a úplne bez podnikových nástrojov.

Čo aplikácia takto nevidí, je čí VPN to je. Príznak transportu hovorí, že tunel existuje, nie že sa končí tam, kde vaša organizácia očakáva.

Cesta služby: súkromné mená a adresy

Najčastejšia poctivá verzia správy vôbec nie je kontrola politiky. Aplikácia prekladá interné meno hostiteľa, napríklad wiki alebo koncový bod API, ktorý existuje len v podnikovom pohľade DNS, a vyhľadanie zlyhá skôr, než sa spustí akýkoľvek kód politiky. Tunel môže byť zapnutý a prepúšťať bežnú internetovú premávku, zatiaľ čo rozdelené DNS posiela to meno resolveru, ktorý o ňom nikdy nepočul.

Príznaky sú tu úzke. Jeden hostiteľ zlyhá, ostatné sieťové volania aplikácie fungujú a zlyhanie sa objaví pri vyhľadávaní mena, nie pri spustení. Interné certifikáty pridávajú druhý režim zlyhania, pretože aplikácia pripnutá k CA organizácie odmietne verejný certifikát, aj keď pakety prúdia.

Pripojenie náhodnej komerčnej VPN nič z toho neopraví. Zmení vašu výstupnú adresu a interné meno zostane rovnako neriešiteľné.

Vrstva politiky aplikácie

Aplikácia môže mať aj vlastnú bránu. Spravované konfigurácie umožňujú organizácii posielať páry kľúč a hodnota, ktoré aplikácia deklaruje, a aplikácia ich číta cez RestrictionManager. Kľúč, ako požadovaný názov profilu alebo zoznam povolených sietí, je úplne návrhom vývojára a vynucuje sa v kóde aplikácie s tým textom chyby, ktorý si tento kód zvolí.

Táto vrstva je miesto, kde sa formulácia zvyčajne prezradí. Ak sa správa objaví okamžite pri spustení, pred akýmkoľvek sieťovým volaním, a spomína politiku, profil alebo správcu, pravdepodobne sa pozeráte na logiku aplikácie, nie na zahodený paket.

Čítať rovnaké obmedzenie na osobnom zariadení je slepá ulička. Nespravované zariadenia nemajú žiadne obmedzenia na čítanie, takže aplikácia sa vráti k akejkoľvek predvolenej hodnote, s ktorou bola postavená.

Vrstva platformy: stále pripojenie a uzamknutie

Správa zariadenia pridáva vynútenie, ktoré aplikácia nemôže obísť. Radič politiky zariadenia môže pre pracovný profil zavolať setAlwaysOnVpnPackage, voliteľne so zapnutým uzamknutím, a keď je uzamknutie zapnuté, platforma odmieta prevádzku, ktorá neprechádza týmto balíkom. Blokovanie je viditeľné ako systémový stav, nie ako chyba aplikácie: aj ostatné aplikácie v profile prestanú dosahovať sieť.

Rozsah je dôležitý. Stála VPN sa konfiguruje pre každého používateľa, takže balík pracovného profilu nepokrýva váš osobný profil a osobná VPN nespĺňa balík pracovného profilu. Dva profily, dve nezávislé sieťové politiky, jedno zariadenie.

Je to tiež jediná vrstva, kde nesúvisiaca VPN nemôže pomôcť, pretože politika pomenúva jeden konkrétny balík.

Ako rozlíšiť tri

Prejdite signatúry v poradí a zastavte pri prvej, ktorá sedí. Jedno meno hostiteľa zlyhá, kým všetko ostatné sa preloží, ukazuje na cestu služby. Okamžité odmietnutie pri spustení s formuláciou politiky ukazuje na logiku aplikácie. Celý profil stráca pripojenie vždy, keď sa odpojí schválený klient, ukazuje na uzamknutie. A aplikácia, ktorá prijme akýkoľvek tunel, kontroluje príznak transportu, nie identitu vašej organizácie.

Užitočné dôkazy: presný text a jeho čas, či ostatné aplikácie v tom istom profile ešte majú pripojenie, či sa súkromné meno preloží vnútri schváleného tunela a či zariadenie zobrazuje pracovný odznak pre aplikáciu, ktorú ste otvorili.

Čo uviesť do žiadosti o podporu

Žiadosť, ktorá pomenuje vrstvu, je správne smerovaná na prvý pokus. Niečo ako: aplikácia pracovného profilu sa otvorí, zoznam zdrojov zlyhá po pripojení schválenej VPN, preklad súkromného mena zlyhá v povolenej diagnostike a ostatné aplikácie v profile ďalej fungujú. To sa číta ako problém trasy alebo resolvera a preskočí slučku resetu účtu.

Ak schválená VPN úplne chýba, podporovanou cestou je registrácia alebo opätovné zriadenie cez vášho správcu. Odstránenie profilu správy, inštalácia nesúvisiaceho klienta alebo falšovanie sieťového stavu mení bezpečnostné usporiadanie, namiesto toho aby ho obnovilo.

Začnite vrstvou, nie klientom. Tri signatúry vyššie to zvyčajne vyriešia počas jednej relácie.