Blokiranje konfiguracije VPN v Androidu: kontrolni seznam za uvedbo
Določite politiko, potrdite pooblastilo, ki ga imate, preverite vedenje po različicah in ohranite odobreno pot stalne povezave živo, preden jo uveljavite.
Nekdo vas prosi, da ljudem preprečite konfiguriranje lastnega VPN na upravljanih napravah Android. Mamljiv odgovor je požarnozidno pravilo, ki blokira nekaj znanih vrat. Ta odgovor spregleda, kako deluje platforma in kako se aplikacije v resnici povezujejo.
Podprta kontrola je upravljalna omejitev na napravi ali profilu, ki ga imate v lasti, in ima izrecen obseg, vedenje, odvisno od različice, ter izjemo, ki jo morate zavestno konfigurirati.
Pojdite skozi pet spodnjih preverjanj po vrsti. Vsako lahko razveljavi načrt, zato se ustavite pri prvem, ki ne zdrži.
Preverjanje 1: odločite, kaj pomeni noben VPN
Za istim stavkom se skrivata dve zahtevi. Ena je, da noben uporabnik ne sme ustvariti lastnega VPN. Druga je, da lahko deluje samo odobreni VPN organizacije. Obe sta legitimni in dajeta različne konfiguracije, različne zgodbe podpore in različne načine odpovedi.
Zapišite, katero od njiju kupujete, preden se dotaknete katere koli upravljalne konzole. Če je namen en sam odobren tunel za vse, uvajate odobreno pot s prepovedjo okoli nje; če je namen nobenih tunelov, morate sprejeti tudi, da se bodo poti za oddaljeni dostop in odpravljanje težav spremenile.
Če se tu zmotite, bo uvedba videti delujoča, medtem ko bo tiho odrezala VPN, od katerega je odvisno poslovanje; to običajno odkrije dežurni v neprimerni uri.
Preverjanje 2: potrdite pooblastilo, ki ga dejansko imate
Android izpostavi omejitev prek UserManager.DISALLOW_CONFIG_VPN, dokumentirane v referenci UserManager. Preprečuje konfiguracijo in zagon VPN in ni nastavitev, ki bi jo običajna aplikacija lahko uporabila zase ali za druge aplikacije.
Uporablja jo pooblaščeni skrbnik: lastnik naprave za celotno napravo ali lastnik profila za upravljani profil, pri čemer je enako pooblastilo na voljo lastniku profila znotraj upravljanega profila. Če vaš EMM ne more delovati kot eden od teh, te kontrole nimate in nobena konfiguracija pravilnikov v konzoli je ne bo ustvarila.
Obseg je enako pomemben kot pooblastilo. Omejitev, uporabljena za delovni profil, upravlja ta profil, ne osebne strani istega telefona. Opisovanje tega kot nadzora nad vsem, kar uporabnik počne, je netočno in to bo preizkusila prva oseba, ki bo v osebnem profilu namestila VPN in ugotovila, da deluje.
Preverjanje 3: poznajte vedenje po različicah
Omejitev se je med izdajami spreminjala, razlike pa določajo, kaj bo vaša uvedba dejansko naredila na napravah na terenu.
| Meja platforme | Dokumentirano vedenje |
|---|---|
| Lastnik naprave ali profila | Omejitev je mogoče uporabiti pod pooblastilom tega lastnika |
| API 24 in novejši | Sistem še vedno zažene VPN stalne povezave, ki ga je konfiguriral lastnik naprave ali profila |
| API 31 in novejši | Vklop omejitve prekine VPN, ki ga je uporabnik že izvajal |
Prav vrstica API 31 preseneti ljudi sredi uvedbe: na teh napravah uveljavljanje ni kozmetično, prekine tunel, ki je že deloval. Načrtujte to kot viden dogodek in ne kot tiho spremembo nastavitev.
Vrstica API 24 vas reši: VPN stalne povezave, ki ga je konfiguriral lastnik, preživi omejitev in tako odobrena pot sploh ostane na voljo.
Preverjanje 4: ohranite odobreno pot živo
Konfigurirajte in preizkusite VPN stalne povezave organizacije, preden uveljavite omejitev, ne po tem. Če jo uveljavite najprej, naprave izgubijo tunel in orodja, s katerimi bi jih diagnosticirali, hkrati.
Izrecno preverite tri stvari: da VPN stalne povezave ustvari lastnik in ne uporabnik; da se na teh napravah zažene po uveljavitvi; in da preživi ponovni zagon. Tunel, ki se dvigne samo ročno, ni odobrena pot; to je vrsta zahtevkov za podporo.
Ohranite pot obnovitve, ki ni odvisna od tega, ali tunel deluje. Upravljalna konzola, lokalna skrbniška pot ali zunajpasovni kanal vsi delujejo. Ne deluje predpostavka, da lahko pokvarjeno politiko popravite prek povezave, ki jo je politika pravkar onemogočila.
Preverjanje 5: preverite in nato mejo opišite pošteno
Preizkusite na resnični napravi in resničnem računu. Potrdite, da uporabnik ne more dodati ali zagnati VPN, potrdite, da se odobreni tunel poveže in prenaša promet, in potrdite, da se osebni profil še vedno vede, kot je dokumentirano. Ti trije rezultati so merila sprejemljivosti.
Nato bodite previdni pri tem, kar trdite. Omejitev upravlja zmožnost VPN v Androidu. Ne spremeni vsake dovoljene povezave v pregledan protokol in ne prepreči aplikaciji, da bi svoje zahteve usmerjala skozi izrecno proxy. Blokiranje UDP 500, UDP 4500 in enega OpenVPN porta ni ista kontrola, ker lahko promet potuje po številnih transportih, vključno z običajno videčim se HTTPS.
Če je zahteva širša od zmožnosti VPN, to povežite s politiko distribucije aplikacij, kontrolami računov in omrežnimi omejitvami, primernimi za okolje. In zapišite, kaj ostane zunaj obsega, da nihče v naslednji reviziji ne ponovi delne omejitve kot popolne.