Sheria ya firewall ya Android inapaswa kuwa wapi VPN ikiwa imewashwa

Una sentensi moja ya sera: programu hii inaweza kufikia huduma ya kazi, na kitu kingine chochote sivyo. Swali linalofuata linaonekana kama chaguo la bidhaa, lakini ni swali la mahali, kwa sababu kila sehemu inayowezekana ya utekelezaji inaona sehemu tofauti ya trafiki ya simu. Gateway inaona tu kile kinachoingia kwenye handaki. Kichujio cha upande wa simu kinaona tu kile kinachoruhusiwa kukiangalia. Kupitisha ombi moja kupitia zote mbili hufanya jibu liwe dhahiri.

Anza na sentensi, sio bidhaa

Panua hitaji kabla ya kuchagua kitu chochote. Hiyo inamaanisha kifurushi na wasifu inaoendeshwa, kwa sababu programu ya wasifu wa kazi ni mtumiaji tofauti na programu hiyo hiyo katika wasifu wa kibinafsi. Inamaanisha lengo: host, port na protocol, sio jina la huduma. Inamaanisha njia ya DNS inayotatua jina hilo, na inamaanisha kile kinachopaswa kutokea handaki linapokosekana.

Ikiwa imeandikwa, sera ya mfano ina mistari minne: programu ya kazi inaweza kufikia huduma ya kazi; programu ya kazi haiwezi kufikia kitu kingine chochote; programu zingine hazibadilika; bila handaki, programu ya kazi inakataliwa badala ya kuangukia njia ya moja kwa moja. Kila mstari una mmiliki, na sio wote ni mmiliki mmoja.

Hatua 1: kile simu yenyewe inaweza kutekeleza

Firewall ya Android isiyo na root ni VpnService inayokamata trafiki ndani ya kifaa, hata kukiwa hakuna handaki la mbali nyuma yake. Android inaruhusu huduma moja hai ya VPN kwa wasifu wa mtumiaji, kwa hivyo programu ya pili ya firewall haifungwi nyuma ya ya kwanza. Inaichukua nafasi, na kiolesura ambacho programu ya kwanza ilikuwa ikichuja kinatoweka.

Ndio sababu kufunga firewall kando ya mteja wa VPN mara chache hutoa mchanganyiko ambao watu wanatarajia. Ikiwa firewall inaanza na VPN inakatika, hakuna kilichounganishwa; hizo mbili zilibadilishana nafasi. Kubadilisha kiolesura sio ushirikiano, na dalili ni handaki linaloanguka kila mara programu nyingine inapofunguliwa.

Mipango inayoungwa mkono ipo: kuchuja kujengwa ndani ya mteja wa VPN unaotumia tayari, vidhibiti vya jukwaa vinavyosimamiwa kupitia kidhibiti cha sera za kifaa au wasifu wa kazi, au usanifu ambao muuzaji anaueleza. Kitu kingine chochote ni jaribio ambalo linapaswa kuthibitishwa upya baada ya kila sasisho la programu.

Hatua 2: kile gateway inaweza kutekeleza

Trafiki inapofichuliwa upande wa mbali, gateway inaweza kuzuia pakiti zinazopitishwa kwa anwani, huduma au vitambulisho vya VPN vilivyothibitishwa. Hiyo ni utekelezaji wa kweli kwa kila kitu kinachotoka kupitia yake, na ni mahali sahihi pa kupunguza ufikiaji wa subnet za kibinafsi.

Isichokipata ni utambulisho wa programu ya simu uliounganishwa na kila pakiti ya kawaida ya IP. Programu kadhaa zinazoshiriki anwani moja ya handaki ni somo moja kwa gateway, isipokuwa usanifu uwape anwani tofauti au vitambulisho tofauti vilivyothibitishwa. Kwa hivyo sheria ya kwa mtumiaji kwenye gateway sio sheria ya kwa programu kwenye simu, hata kama dashibodi ya usimamizi inaiita hivyo.

Hatua 3: orodhesha kile kisichofika kamwe

Programu iliyotengwa na VPN inayowasiliana na kifaa kilicho karibu haifiki kamwe kwenye gateway, kwa hivyo firewall ya kutoka haiwezi kukataa pakiti ambayo haipokei kamwe. Ndivyo ilivyo pia kwa njia ya moja kwa moja isiyokusudiwa wakati wa hitilafu na kwa mfiduo wa kuingia kwenye mtandao wa ufikiaji wa ndani. Hizo ni mipaka ya ndani kwa ufafanuzi.

Kinyume chake pia ni kweli: sheria ya ndani inayoruhusu muunganisho haitoi ufikiaji kupitia ACL ya mtandao wa kibinafsi wa gateway. Ombi moja linaweza kuwa chini ya mipaka yote miwili, na kutimiza moja hakusemi chochote kuhusu nyingine.

Hatua 4: peana kila sheria njia

Weka uamuzi kwenye jedwali kabla ya kusanidi kitu chochote, kwa sababu seli tupu ni mahali ambapo usanifu unashindwa.

Umbo linalofanya kazi ni mipaka miwili yenye kazi mbili. Mpaka wa ndani unaofahamu programu husimamia tabia ya simu, ikiwa ni pamoja na kurudi moja kwa moja, na mpaka wa gateway husimamia rasilimali za mbali. Upande wa gateway unaweza kuruhusu huduma ya kazi na kukataa kila subnet nyingine ya kibinafsi, wakati sera ya upande wa simu huamua yenyewe kuhusu njia ya moja kwa moja ambayo programu inaweza kuchukua vinginevyo.

Hatua 5: dumisha usafirishaji hai, kisha thibitisha

Sera yoyote ya ndani utakayochagua inapaswa kuruhusu usafirishaji unaoanzisha na kudumisha VPN. Kuzuia usafirishaji huo kunaacha simu bila handaki na bila sera, jambo ambalo halitekelezi chochote kwa uthabiti na ni vigumu kugundua kwa sababu programu haina mtandao.

Kisha thibitisha kila mstari wa sentensi ya awali badala ya hisia ya jumla: programu ya kazi inafikia huduma ya kazi, programu hiyo hiyo inakataliwa mahali pengine, programu isiyo ya kazi inafanya kama zamani, na handaki likisimamishwa programu ya kazi haiangukii kwenye muunganisho wa moja kwa moja. Angalia njia ya DNS kando, kwa sababu DNS ya kibinafsi au kitatuzi kilichosimbwa kinaweza kukwepa kichujio kinachokagua anwani pekee.

Ikiwa moja ya hatua hizo haiwezi kutimizwa kwenye simu, hitaji ni swali la usanifu na sio mpangilio wa firewall. Kugawanya sera kati ya kifaa unachodhibiti na gateway unayodhibiti kwa kawaida ni jibu la uaminifu, na nyaraka za muunganisho wa VPN za Android ni mahali pa kuthibitisha kile jukwaa litakubali na halitakubali huduma moja kufanya.