Блокирање VPN конфигурације на Android-у: контролна листа за увођење
Одлучите о политици, потврдите овлашћење које имате, проверите понашање по верзијама и одржите живим одобрени пут сталне везе пре него што га примените.
Неко вас моли да спречите људе да конфигуришу сопствени VPN на управљаним Android уређајима. Примамљив одговор је firewall правило које блокира неколико познатих портова. Тај одговор пропушта како платформа ради и како се апликације заиста повезују.
Подржана контрола је ограничење управљања на уређају или профилу који поседујете, и има јасан обухват, понашање зависно од верзије и изузетак који морате свесно конфигурисати.
Прођите кроз пет провера испод по реду. Свака може поништити план, зато станите на првој која не издржава.
Провера 1: одлучите шта значи никакав VPN
Иза исте реченице крију се два захтева. Један је да ниједан корисник не сме да направи сопствени VPN. Други је да сме само одобрени VPN организације да ради. Оба су легитимна и дају различите конфигурације, различите приче о подршци и различите режиме отказа.
Запишите који од њих купујете пре него што дотакнете било коју конзолу за управљање. Ако је намера један одобрени тунел за све, уводите одобрени пут са забраном око њега; ако је намера уопште без тунела, морате прихватити и да ће се путеви даљинског приступа и отклањања проблема променити.
Погрешите овде и увођење ће изгледати као да ради док тихо одсеца VPN од ког зависи рад; то обично открије дежурни у незгодан час.
Провера 2: потврдите овлашћење које заиста имате
Android излаже ограничење преко UserManager.DISALLOW_CONFIG_VPN, документирано у референци за UserManager. Оно спречава конфигурисање и покретање VPN-а и није подешавање које обична апликација може да примени на себе или на друге апликације.
Примењује га овлашћени администратор: власник уређаја за цео уређај или власник профила за управљани профил, при чему је исто овлашћење доступно власнику профила унутар управљаног профила. Ако ваш EMM не може да делује као један од њих, немате ову контролу и никаква конфигурација политика у конзоли је неће створити.
Обухват је важан колико и овлашћење. Ограничење примењено на радни профил управља тим профилом, а не личном страном истог телефона. Описовати то као контролу над свим што корисник ради је нетачно и то ће тестирати прва особа која инсталира VPN у личном профилу и открије да ради.
Провера 3: знајте понашање по верзијама
Ограничење се мењало кроз издања, а разлике одређују шта ће ваше увођење заиста урадити на уређајима на терену.
| Граница платформе | Документовано понашање |
|---|---|
| Власник уређаја или профила | Ограничење се може применити под овлашћењем тог власника |
| API 24 и новији | VPN сталне везе који је конфигурисао власник уређаја или профила систем и даље покреће |
| API 31 и новији | Укључивање ограничења прекида VPN који је корисник већ покренуо |
Ред за API 31 је онај који изненади људе усред увођења: на тим уређајима примена није козметичка, она прекида тунел који је већ радио. Планирајте то као видљив догађај, а не као тиху промену подешавања.
Ред за API 24 је онај који вас спасава: VPN сталне везе који је конфигурисао власник преживљава ограничење и тако одобрени пут уопште остаје доступан.
Провера 4: одржите одобрени пут живим
Конфигуришите и тестирајте VPN сталне везе организације пре него што примените ограничење, а не после. Ако примените прво, уређаји губе тунел и алате којима бисте их дијагностиковали истовремено.
Проверите три ствари експлицитно: да VPN сталне везе ствара власник, а не корисник; да се покреће на тим уређајима после примене; и да преживљава рестарт. Тунел који се подиже само ручно није одобрени пут; то је ред захтева за подршку.
Чувајте пут опоравка који не зависи од тога да ли је тунел активан. Конзола за управљање, локална администраторска путања или канал ван опсега — сви раде. Не ради претпоставка да можете да поправите покварену политику кроз везу коју је политика управо искључила.
Провера 5: проверите, а затим опишите границу честито
Тестирајте са стварним уређајем и стварним налогом. Потврдите да корисник не може да дода или покрене VPN; потврдите да се одобрени тунел повезује и преноси саобраћај; и потврдите да се лични профил и даље понаша као што је документовано. Та три резултата су критеријуми прихватања.
Затим пазите шта тврдите. Ограничење управља VPN способношћу Android-а. Оно не претвара сваку дозвољену везу у прегледани протокол и не спречава апликацију да усмерава сопствене захтеве кроз експлицитни прокси. Блокирање UDP 500, UDP 4500 и једног OpenVPN порта није иста контрола, јер саобраћај може да путује кроз многе транспорте, укључујући обичан на изглед HTTPS.
Ако је захтев шири од VPN способности, комбинујте то са политиком дистрибуције апликација, контролама налога и мрежним ограничењима примереним окружењу. И запишите шта остаје ван обухвата, да нико не понови делимично ограничење као потпуно у следећој ревизији.