Bllokimi i konfigurimit të VPN në Android: lista e kontrollit për vendosje

Dikush ju kërkon të pengoni njerëzit të konfigurojnë VPN-në e tyre në pajisjet Android të menaxhuara. Përgjigjja joshëse është një rregull firewalls që bllokon disa porta të njohura. Ajo përgjigje anashkalon si funksionon platforma dhe si lidhen vërtet aplikacionet.

Kontrolli i mbështetur është një kufizim menaxhimi mbi pajisjen ose profilin që zotëroni, dhe ka një shtrirje të qartë, sjellje që varet nga versioni dhe një përjashtim që duhet ta konfiguroni qëllimisht.

Kaloni nëpër pesë kontrollet më poshtë sipas radhës. Secili mund ta anulojë planin, ndaj ndaloni te i pari që nuk qëndron.

Kontrolli 1: vendosni çfarë do të thotë asnjë VPN

Pas të njëjtës fjali fshihen dy kërkesa. Njëra është që asnjë përdorues të mos krijojë VPN-në e vet. Tjetra është që vetëm VPN-ja e miratuar e organizatës të mund të funksionojë. Të dyja janë legjitime dhe prodhojnë konfigurime të ndryshme, histori mbështetjeje të ndryshme dhe mënyra dështimi të ndryshme.

Shkruani cilën prej tyre po blini përpara se të prekni ndonjë konsolë menaxhimi. Nëse qëllimi është një tunel i vetëm i miratuar për të gjithë, po zbatoni një rrugë të miratuar me një ndalim rreth saj; nëse qëllimi është aspak tunele, duhet të pranoni gjithashtu se rrugët e aksesit në distancë dhe të zgjidhjes së problemeve do të ndryshojnë.

Gaboni këtu dhe vendosja do të duket se funksionon ndërsa pret në heshtje VPN-në nga e cila varet operacioni, gjë që zakonisht e zbulon personi në detyrë në një orë të papërshtatshme.

Kontrolli 2: konfirmoni autoritetin që keni vërtet

Android e ekspozon kufizimin përmes UserManager.DISALLOW_CONFIG_VPN, dokumentuar në referencën e UserManager. Ai parandalon konfigurimin dhe nisjen e VPN-së, dhe nuk është një cilësim që një aplikacion i zakonshëm mund ta zbatojë mbi veten ose mbi aplikacione të tjera.

Zbatohet nga një administrator i autorizuar: një pronar pajisjeje për të gjithë pajisjen, ose një pronar profili për profilin e menaxhuar, me të njëjtin autoritet në dispozicion për një pronar profili brenda profilit të menaxhuar. Nëse EMM-ja juaj nuk mund të veprojë si një prej tyre, nuk e keni këtë kontroll, dhe asnjë sasi konfigurimi politikash në konsolë nuk do ta krijojë.

Shtrirja ka po aq rëndësi sa autoriteti. Një kufizim i zbatuar mbi një profil pune qeveris atë profil, jo anën personale të të njëjtit telefon. Përshkrimi i kësaj si kontroll mbi gjithçka që bën përdoruesi është i pasaktë, dhe do ta testojë personi i parë që instalon një VPN në profilin personal dhe zbulon se funksionon.

Kontrolli 3: njihni sjelljen sipas versionit

Kufizimi ka ndryshuar ndërmjet versioneve, dhe dallimet vendosin çfarë do të bëjë vërtet vendosja juaj në pajisjet në terren.

Rreshti API 31 është ai që i habit njerëzit në mes të vendosjes: në ato pajisje zbatimi nuk është kozmetik, ai shkëput një tunel që ishte tashmë duke punuar. Planifikojeni atë si një ngjarje të dukshme dhe jo si një ndryshim të heshtur cilësimesh.

Rreshti API 24 është ai që ju shpëton: një VPN e lidhjes së përhershme e konfiguruar nga pronari i mbijeton kufizimit, dhe kështu rruga e miratuar mbetet në dispozicion.

Kontrolli 4: mbani gjallë rrugën e miratuar

Konfiguroni dhe provoni VPN-në e lidhjes së përhershme të organizatës përpara se ta zbatoni kufizimin, jo pas. Nëse e zbatoni së pari, pajisjet humbin tunelin dhe mjetet me të cilat do t'i diagnostikonit në të njëjtën kohë.

Verifikoni shprehimisht tre gjëra: që VPN-në e lidhjes së përhershme e krijon pronari dhe jo përdoruesi; që ajo niset në ato pajisje pas zbatimit; dhe që i mbijeton një rindezjeje. Një tunel që ngrihet vetëm me dorë nuk është rrugë e miratuar; është një radhë biletash mbështetjeje.

Mbani një rrugë rikuperimi që nuk varet nga fakti që tuneli është aktiv. Një konsolë menaxhimi, një rrugë administratori lokal ose një kanal jashtë brezit funksionojnë të gjitha. Ajo që nuk funksionon është të supozoni se mund të rregulloni një politikë të prishur përmes lidhjes që politika sapo çaktivizoi.

Kontrolli 5: verifikoni dhe më pas përshkruani kufirin me ndershmëri

Provoni me një pajisje reale dhe një llogari reale. Konfirmoni që një përdorues nuk mund të shtojë ose të nisë një VPN, konfirmoni që tuneli i miratuar lidhet dhe transporton trafik, dhe konfirmoni që profili personal vazhdon të sillet siç dokumentohet. Ato tre rezultate janë kriteret e pranimit.

Më pas kini kujdes me atë që pohoni. Kufizimi qeveris aftësinë e VPN-së të Android. Ai nuk e kthen çdo lidhje të lejuar në një protokoll të inspektuar dhe nuk e pengon një aplikacion të drejtojë kërkesat e veta përmes një proxy të shprehur. Bllokimi i UDP 500, UDP 4500 dhe një OpenVPN porte nuk është i njëjti kontroll, sepse trafiku mund të udhëtojë përmes shumë transportesh, përfshirë HTTPS që duket i zakonshëm.

Nëse kërkesa është më e gjerë se aftësia e VPN-së, kombinoni këtë me politikën e shpërndarjes së aplikacioneve, kontrollet e llogarisë dhe kufizimet e rrjetit të përshtatshme për mjedisin. Dhe regjistroni çfarë mbetet jashtë shtrirjes, që askush të mos e përsëritë një kufizim të pjesshëm si të plotë në auditimin e ardhshëm.