Delovna aplikacija zahteva VPN? Najprej preverite te tri plasti

Sporočilo pravi, da aplikacija potrebuje VPN, vendar običajno aplikacija sporoča simptom, namesto da bi poimenovala stvar, ki jo je blokirala. Ta stavek lahko ustvarijo trije različni odgovorni: zasebna storitev, s katero se aplikacija pogovarja, lastna koda politike aplikacije in plast upravljanja naprave, ki nadzoruje delovni profil. Kateri od njih sprašuje, spremeni, kaj morate storiti, in samo enega od treh odpravi povezava tunela. Če najprej najdete odgovornega, se izognete ponovni namestitvi odjemalca, ki nikoli ni bil težava.

Kaj lahko aplikacija preveri sama

Preden domnevate skrito pravilo platforme, se spomnite, da običajna aplikacija lahko vidi, ali je transport VPN aktiven. ConnectivityManager poroča o omrežjih, ki nosijo TRANSPORT_VPN, in odsotnost NET_CAPABILITY_NOT_VPN pove vsakemu klicatelju, da trenutna pot poteka skozi tunel. Razvijalec, ki želi zavrniti delovanje zunaj tunela, lahko to stori z javnimi API in povsem brez podjetniških orodij.

Česa aplikacija na ta način ne more videti, je čigav je VPN. Zastavica transporta pove, da tunel obstaja, ne pa da se konča tam, kjer pričakuje vaša organizacija.

Pot storitve: zasebna imena in naslovi

Najpogostejša poštena različica sporočila sploh ni preverjanje politike. Aplikacija razreši interno ime gostitelja, na primer wiki ali končno točko API, ki obstaja samo znotraj pogleda DNS podjetja, in iskanje spodleti, preden se zažene kakršna koli koda politike. Tunel je lahko vzpostavljen in prepušča splošni internetni promet, medtem ko razdeljeni DNS pošilja to ime razreševalniku, ki zanj ni še nikoli slišal.

Simptomi so tu ozki. En gostitelj spodleti, ostali omrežni klici aplikacije delujejo, in napaka se pojavi med iskanjem imena, ne ob zagonu. Interna potrdila dodajo drug način odpovedi, ker aplikacija, pripeta na CA organizacije, zavrne javno potrdilo, tudi ko paketi tečejo.

Povezava s poljubnim komercialnim VPN ne odpravi ničesar od tega. Spremeni vaš izhodni naslov in pusti interno ime enako nerazrešljivo.

Plast politike aplikacije

Aplikacija lahko nosi tudi svoja vrata. Upravljane konfiguracije organizaciji omogočajo pošiljanje parov ključa in vrednosti, ki jih aplikacija navede, in aplikacija jih bere prek RestrictionManager. Ključ, kot je zahtevano ime profila ali seznam dovoljenih omrežij, je povsem razvijalčeva zasnova, uveljavljena v kodi aplikacije z besedilom napake, ki ga ta koda izbere.

Ta plast je mesto, kjer se formulacija običajno izda. Če se sporočilo pojavi takoj ob zagonu, pred vsakim omrežnim klicem, in omenja politiko, profil ali skrbnika, verjetno gledate logiko aplikacije in ne izgubljenega paketa.

Branje iste omejitve na osebni napravi je slepa ulica. Neupravljane naprave nimajo omejitev za branje, zato se aplikacija vrne na privzeto vrednost, s katero je bila zgrajena.

Plast platforme: vedno povezano in zaklep

Upravljanje naprave doda izvajanje, ki ga aplikacija ne more obiti. Krmilnik politike naprave lahko za delovni profil pokliče setAlwaysOnVpnPackage, po želji z omogočenim zaklepom, in ko je zaklep vklopljen, platforma zavrne promet, ki ne gre skozi ta paket. Blokada je vidna kot sistemsko stanje in ne kot napaka aplikacije: tudi druge aplikacije v profilu prenehajo dosegati omrežje.

Obseg je pomemben. VPN, ki je vedno povezan, se nastavi za vsakega uporabnika, zato paket delovnega profila ne pokriva vašega osebnega profila, in osebni VPN ne zadovolji paketa delovnega profila. Dva profila, dve neodvisni omrežni politiki, ena naprava.

To je tudi edina plast, kjer nepovezan VPN ne more pomagati, ker politika imenuje en konkreten paket.

Razlikovanje treh

Pojdite skozi signale po vrsti in se ustavite pri prvem, ki ustreza. Eno ime gostitelja spodleti, medtem ko se vse drugo razreši, kaže na pot storitve. Takojšnja zavrnitev ob zagonu s formulacijo politike kaže na logiko aplikacije. Celoten profil izgubi povezljivost vsakič, ko se odobreni odjemalec odpoji, kaže na zaklep. In aplikacija, ki sprejme kateri koli tunel, preverja zastavico transporta, ne identitete vaše organizacije.

Koristni dokazi: natančno besedilo in njegov čas, ali imajo druge aplikacije v istem profilu še povezljivost, ali se zasebno ime razreši znotraj odobrenega tunela in ali naprava prikaže delovno značko za aplikacijo, ki ste jo odprli.

Kaj vključiti v zahtevo za podporo

Zahteva, ki poimenuje plast, je pravilno usmerjena že v prvem poskusu. Nekaj takega: aplikacija delovnega profila se odpre, seznam virov spodleti po povezavi odobrenega VPN, razreševanje zasebnega imena spodleti v dovoljeni diagnostiki, in druge aplikacije v profilu delujejo naprej. To se bere kot težava poti ali razreševalnika in preskoči zanko ponastavitve računa.

Če odobrenega VPN sploh ni, je podprta pot vpis ali ponovna oskrba prek vašega skrbnika. Odstranitev profila upravljanja, namestitev nepovezanega odjemalca ali ponarejanje omrežnega stanja spremeni varnostno ureditev, namesto da bi jo obnovilo.

Začnite s plastjo, ne z odjemalcem. Trije signali zgoraj to običajno razrešijo v eni seji.