Два VPN-а на једном телефону: изаберите распоред, а не број апликација

Коришћење два VPN-а није један захтев. То може значити достизање две организације једна за другом, раздвајање радних и личних апликација или покретање једног тунела унутар другог. Android обрађује та три случаја потпуно различито, а број инсталираних VPN апликација на телефону није архитектура. Питање које их раздваја је једноставно: морају ли два пута постојати у истом тренутку за исту апликацију?

Три распореда, једно питање

Ако је одговор не, зато што се две мреже користе у различито време, потребно вам је намерно пребацивање. Ако је одговор не зато што су саме апликације раздвојене, потребно вам је раздвајање профила, где свака апликација стоји у контексту који поседује њен тунел. Ако је одговор да и један пут мора физички да носи други, потребан вам је ланац, и то је једини од три где је редослед део решења.

Све остало произлази из тог избора. Пребацивање има прелазни прозор, раздвајање има границу политике, а ланац има додатни трошак и трошак зависности. Избор погрешног не пропада чисто; он производи телефон који изгледа повезан и апликацију која никуда не стиже.

Пребацивање у једном корисничком контексту

Android дозвољава једну активну VPN услугу по кориснику. Покретање друге VPN апликације у истом контексту замењује прву или се одбија одмах; никада не саставља два скупа рута и сигурно не слаже њихово шифровање. У једном кориснику два тунела су низ, а не збир.

То је изводљиво када је приступ заиста секвенцијалан. Именујте профиле тако да активан буде очигледан, завршите све осетљиво пре пребацивања и очекујте кратак прозор у ком ниједан од два пута није потпуно успостављен. Затварање картице прегледача није исто што и завршетак сесије: картица може да задржи стање свог налога и једноставно пошаље следећи захтев преко новоизабране мреже, и то је управо то цурење које људи касније примете.

Оно што пребацивање не може да да је машина која је истовремено на обе мреже. Ако апликацији треба приватна адреса са сваке стране, никаква дисциплина клијента то неће произвести.

Раздвајање по профилу

Управљани радни профил је одвојен корисник са сопственим апликацијама, складиштем кључева и мрежном политиком. Радни клијент поште може да користи тунел организације док лични прегледач користи лични, и оба могу бити повезана истовремено јер нису у истом контексту који се такмичи за место.

Раздвајање је и граница. Лични прегледач не позајмљује радни тунел, не види радне DNS наставке и не стиже до радне мреже само зато што се обе услуге приказују као повезане. Када неко пријави да се веза не отвара, проверите која је копија апликације то обрадила и који профил поседује тај налог пре него што дотакнете било који од два VPN-а.

Третирајте границу као фиксну. Прављење другог профила или уклањање радног профила да би се заобишла одлука послодавца о рутирању уништава управо оно раздвајање које је омогућавало да распоред функционише, а на управљаном уређају то је обично кршење политике, а не измена конфигурације.

Ланац, где је редослед решење

Ланац је распоред који људи обично мисле када кажу оба истовремено: тунел телефона путује унутар тунела рутера. То може да функционише, а ограничења су конкретна. Спољни провајдер мора да дозволи радну путању до VPN крајње тачке телефона, што за протоколе засноване на UDP значи да спољна услуга не сме да блокира или ограничи тај саобраћај.

Разумите ко шта види. Спољни провајдер види везу ка унутрашњој крајњој тачки. Унутрашњи провајдер прима саобраћај телефона са спољног излаза и прослеђује га даље. Крајње одредиште обично види излаз унутрашње услуге, и ниједан провајдер дуж ланца није слеп; налози апликација и даље идентификују корисника без обзира на путању.

Очекујте практичне трошкове. Сваки слој додаје инкапсулацију, па ефективни MTU опада и вредност која је била добра за један тунел сада се фрагментише или застоји док се MTU унутрашњег тунела не постави конзервативно. Два слоја значе и две зависности од отказа и два скупа порука за одржавање, а унутрашњи тунел заснован на TCP преко спољне везе са губицима може да застане на начине који изгледају као мртав сервер.

Најважније, ланац не спаја две приватне мреже. Руте, преклапајући префикси, DNS резолуција и правила приступа остају одвојене одлуке, а рутер који носи један VPN док телефон носи други не даје телефону оба адресна простора.

Проверите решење пре него што га отклањате

Запишите распоред у једној реченици и тестирајте га на апликацији која није успела. Секвенцијални приступ треба да покаже један тунел истовремено; раздвајање профила треба да покаже сваку апликацију у њеном сопственом кориснику; ланац треба да покаже да се унутрашњи тунел успоставља преко спољног интерфејса, а не преко физичког.

adb shell ip -br addr
adb shell ip route get 10.20.0.8
adb shell dumpsys connectivity | grep -i vpn

Ако претрага руте именује физички интерфејс док апликација очекује тунел, решење и контекст апликације се не слажу, и ниједна додатна VPN апликација их неће помирити. Документација о управљаним профилима покрива правила раздвајања ако вам је потребан детаљ политике, а не рутирања.