Ku duhet të qëndrojë një rregull firewalls Android kur VPN është i ndezur
Vetëm një VpnService mund të jetë aktiv, ndaj një aplikacion firewall dhe një aplikacion VPN nuk vendosen njëri mbi tjetrin. Ndjekni një kërkesë pune dhe vendosni çdo rregull atje ku kalon vërtet trafiku.
Keni një fjali politike: ky aplikacion mund të arrijë shërbimin e punës dhe asgjë tjetër. Pyetja e radhës duket si zgjedhje produkti, por është pyetje vendndodhjeje, sepse çdo pikë e mundshme zbatimi sheh një nënbashkësi tjetër të trafikut të telefonit. Një gateway sheh vetëm atë që hyn në tunel. Një filtër në anën e telefonit sheh vetëm atë që i lejohet të vëzhgojë. Kalimi i një kërkese të vetme nëpër të dyja e bën përgjigjen të qartë.
Filloni me fjalinë, jo me produktin
Zgjeroni kërkesën përpara se të zgjidhni gjë. Kjo do të thotë paketa dhe profili në të cilin ekzekutohet, sepse një aplikacion i profilit të punës është një përdorues tjetër nga i njëjti aplikacion në profilin personal. Do të thotë destinacioni: host, port dhe protokoll, jo emri i një shërbimi. Do të thotë rruga DNS që e zgjidh atë emër dhe do të thotë çfarë duhet të ndodhë kur tuneli nuk është i disponueshëm.
E shkruar, politika për shembullin ka katër rreshta: aplikacioni i punës mund të arrijë shërbimin e punës; aplikacioni i punës nuk mund të arrijë asgjë tjetër; aplikacionet e tjera mbeten të pandryshuara; pa tunel, aplikacionit të punës i refuzohet qasja në vend që të kalojë në një lidhje të drejtpërdrejtë. Çdo rresht ka një pronar dhe nuk janë të gjithë i njëjti pronar.
Hapi 1: çfarë mund të zbatojë vetë telefoni
Një firewall Android pa root është një VpnService që e kap trafikun lokalisht, edhe kur pas tij nuk ka tunel të largët. Android lejon vetëm një shërbim VPN aktiv për profil përdoruesi, ndaj një aplikacion i dytë firewall nuk zinxhirohet pas të parit. Ai e zëvendëson atë dhe ndërfaqja që i pari e filtrimin e bënte zhduket.
Kjo është arsyeja pse instalimi i një firewalls pranë një klienti VPN rrallë prodhon kombinimin që njerëzit presin. Nëse firewalls niset dhe VPN shkëputet, asgjë nuk u kombinua; të dyja ndërruan vendet. Zëvendësimi i ndërfaqes nuk është bashkëpunim dhe simptoma është një tunel që bie vazhdimisht sa herë hapet aplikacioni tjetër.
Rregullime të mbështetura ekzistojnë gjithsesi: filtrim i integruar në klientin VPN që përdorni tashmë, kontrolle të menaxhuara të platformës përmes një kontrolluesi politikash pajisjeje ose profili pune, ose një arkitekturë e dokumentuar nga furnizuesi. Çdo gjë tjetër është eksperiment që duhet riverifikuar pas çdo përditësimi të aplikacionit.
Hapi 2: çfarë mund të zbatojë gateway
Pasi trafiku dekriptohet në skajin e largët, gateway mund t'i kufizojë paketat e përçuar në adresa, shërbime ose identitete VPN të vërtetuara të miratuara. Ky është zbatim i vërtetë për çdo gjë që del nëpër të dhe është vendi i duhur për të kufizuar qasjen në nënrrjeta private.
Ajo që nuk merr është identiteti i aplikacionit të telefonit i bashkangjitur çdo pakele IP të zakonshme. Disa aplikacione që ndajnë një adresë tuneli janë një subjekt për gateway, përveç nëse dizajni u jep adresa të veçanta ose identitete të vërtetuara të veçanta. Prandaj një rregull për përdorues në gateway nuk është rregull për aplikacion në telefon, sado konsola e menaxhimit ta quajë.
Hapi 3: renditni atë që nuk arrin kurrë
Një aplikacion i përjashtuar nga VPN që kontakton një pajisje aty pranë nuk arrin kurrë në gateway, ndaj një firewall daljeje nuk mund të refuzojë një paketë që nuk e merr kurrë. E njëjta gjë vlen për një rrugë të drejtpërdrejtë të paqëllimshme gjatë një ndërprerjeje dhe për ekspozimin hyrës në rrjetin lokal të qasjes. Këto janë kufij lokalë sipas përkufizimit.
Vlen edhe e kundërta: një rregull lokal që lejon një lidhje nuk jep qasje përmes ACL-së së rrjetit privat të gateway. Një kërkesë mund t'i nënshtrohet të dy kufijve dhe plotësimi i njërit nuk thotë asgjë për tjetrin.
Hapi 4: caktoni një rrugë për çdo rregull
Vendosni vendimin në një tabelë përpara se të konfiguroni gjë, sepse qelizat bosh janë vendi ku dështojnë dizajnet.
| Path | Who can enforce it | Blind spot |
|---|---|---|
| Work app to the work service, tunnel up | Gateway ACL on address and service, plus a local block on other paths | The gateway cannot see which app sent the packet |
| Work app to other destinations, tunnel up | Local app-aware filter, or the gateway if those destinations are addressed there | The local filter must be the active VpnService |
| Work app with no tunnel | Local deny, so the app cannot take a direct path | Requires the filter to survive the tunnel going away |
| Nearby LAN device | Local policy only | The gateway never sees it |
Forma që funksionon janë dy kufij me dy detyra. Një kufi lokal që njeh aplikacionet drejton sjelljen e telefonit, përfshirë kthimin e drejtpërdrejtë, dhe një kufi gateway drejton burimet e largëta. Ana e gateway mund të lejojë shërbimin e punës dhe të refuzojë çdo nënrrjetë tjetër private, ndërsa politika në anën e telefonit vendos vetë për një rrugë të drejtpërdrejtë që aplikacioni mund ta merrte ndryshe.
Hapi 5: mbajeni transportin gjallë, pastaj verifikoni
Çfarëdo politike lokale që zgjidhni, ajo duhet të lejojë transportin që vendos dhe mirëmban VPN. Bllokimi i atij transporti e lë telefonin pa tunel dhe pa politikë, gjë që nuk zbaton asgjë në mënyrë koherente dhe është e vështirë për t'u diagnostikuar, sepse aplikacioni thjesht nuk ka rrjet.
Pastaj verifikoni çdo rresht të fjalisë origjinale, jo përshtypjen e përgjithshme: aplikacioni i punës arrin shërbimin e punës, i njëjti aplikacion refuzohet në një destinacion tjetër, një aplikacion jo pune sillet si më parë dhe me tunelin e ndalur aplikacioni i punës nuk kalon në një lidhje të drejtpërdrejtë. Kontrolloni veçmas rrugën DNS, sepse DNS privat ose një zgjidhës i kriptuar mund të anashkalojnë një filtër që inspekton vetëm adresat.
Nëse një nga këto hapa nuk mund të plotësohet në telefon, kërkesa është pyetje arkitekture dhe jo një cilësim firewalls. Ndarja e politikës midis një pajisjeje që kontrolloni dhe një gateway që kontrolloni është zakonisht përgjigja e sinqertë, dhe dokumentacioni i lidhjes VPN për Android është vendi për të konfirmuar çfarë platforma do të lejojë dhe nuk do të lejojë për një shërbim të vetëm.