Радна апликација захтева VPN? Прво проверите ова три слоја

Порука каже да апликацији треба VPN, али обично апликација пријављује симптом уместо да именује оно што ју је блокирало. Та реченица могу да створе три различита одговорна: приватна услуга са којом апликација разговара, сопствени код политике апликације и слој управљања уређајем који контролише радни профил. Који од њих пита мења шта би требало да урадите, и само један од тројице се поправља повезивањем тунела. Проналажење одговорног најпре штеди вас поновне инсталације клијента који никада није био проблем.

Шта апликација може сама да провери

Пре него што претпоставите скривено правило платформе, сетите се да обична апликација може да види да ли је транспорт VPN активан. ConnectivityManager извештава о мрежама које носе TRANSPORT_VPN, а одсуство NET_CAPABILITY_NOT_VPN говори сваком позиваоцу да тренутни пут пролази кроз тунел. Програмер који жели да одбије рад изван тунела може то да уради јавним API-јима и посве без корпоративних алата.

Оно што апликација тако не може да види јесте чији је VPN. Заставица транспорта каже да тунел постоји, не да се завршава онде где ваша организација очекује.

Пут услуге: приватна имена и адресе

Најчешћа искрена верзија поруке уопште није провера политике. Апликација разрешава интерно име хоста, попут викија или крајње тачке API-ја која постоји само унутар корпоративног DNS приказа, и претрага не успева пре него што се покрене икакав код политике. Тунел може бити активан и пропуштати општи интернет саобраћај док подељени DNS шаље то име разрешивачу који о њему никада није чуо.

Симптоми су овде уски. Један хост не успева, остали мрежни позиви апликације раде, а квар се појављује током претраге имена, а не при покретању. Интерни сертификати додају други начин квара, јер апликација причвршћена за CA организације одбија јавни сертификат чак и кад пакети теку.

Повезивање било ког комерцијалног VPN-а не исправља ништа од тога. Мења вашу излазну адресу и оставља интерно име једнако нерешивим.

Слој политике апликације

Апликација може да носи и своја врата. Управљане конфигурације омогућавају организацији да гура парове кључа и вредности које апликација декларише, а апликација их чита кроз RestrictionManager. Кључ попут потребног назива профила или листе дозвољених мрежа посве је дизајн програмера, спроведен у коду апликације са текстом грешке који тај код одабере.

Овај слој је место где формулација обично ода. Ако се порука појави одмах при покретању, пре икаквог мрежног позива, и спомиње политику, профил или администратора, вероватно гледате логику апликације, а не испуштен пакет.

Читање истог ограничења на личном уређају је слепа улица. Неуправљани уређаји немају ограничења за читање, па апликација пада назад на било коју задату вредност са којом је изграђена.

Слој платформе: стално укључено и закључавање

Управљање уређајем додаје спровођење које апликација не може да заобиђе. Контролер политике уређаја може да позове setAlwaysOnVpnPackage за радни профил, необавезно са укљученим закључавањем, и кад је закључавање укључено, платформа одбија саобраћај који не иде кроз тај пакет. Блокада је видљива као стање система, а не као грешка апликације: и друге апликације у профилу престају да досежу мрежу.

Обим је важан. Стални VPN конфигурише се по кориснику, па пакет радног профила не покрива ваш лични профил, а лични VPN не задовољава пакет радног профила. Два профила, две независне мрежне политике, један уређај.

То је и једини слој на којем неповезани VPN не може да помогне, јер политика именује један одређени пакет.

Разликовање тројице

Прођите кроз сигнале редом и зауставите се на првом који се подудара. Једно име хоста не успева док се све остало разрешава, упућује на пут услуге. Тренутно одбијање при покретању са формулацијом политике упућује на логику апликације. Цео профил губи повезаност кад год се одобрени клијент одспоји, упућује на закључавање. А апликација која прихвата било какав тунел проверава заставицу транспорта, а не идентитет ваше организације.

Корисни докази: тачан текст и његово време, имају ли друге апликације у истом профилу још повезаност, разрешава ли се приватно име унутар одобреног тунела и показује ли уређај радну значку за апликацију коју сте отворили.

Шта ставити у захтев за подршку

Захтев који именује слој бива исправно усмерен из првог покушаја. Нешто попут: апликација радног профила се отвара, листа ресурса не успева након што се одобрени VPN повеже, разрешавање приватног имена не успева у дозвољеној дијагностици, а остале апликације у профилу настављају да раде. То се чита као проблем руте или разрешивача и прескаче петљу поновног постављања налога.

Ако одобрени VPN посве недостаје, подржани пут је упис или поновно обезбеђивање кроз вашег администратора. Уклањање профила управљања, инсталирање неповезаног клијента или лажирање мрежног стања мења безбедносни распоред уместо да га обнови.

Почните слојем, а не клијентом. Три сигнала горе обично то реше у једној сесији.