Profaili za VPN IKEv2 kwenye Android ni za mtumiaji, si za kifaa

Usemi VPN iliyojengwa ndani hushughulikia vitu viwili visivyohusiana kwenye Android: utekelezaji wa itifaki ambao jukwaa huendesha kwa niaba yako, na ule umbo la mipangilio ambalo mtengenezaji aliamua kufichua. Hivi si kitu kimoja, na hakuna kimojawapo kinachohakikisha kwamba handaki ni la mtumiaji ambaye programu zake zinahitaji. Uandalizi hufanyika kwa mtumiaji maalum na kifurushi maalum kinachopiga simu, na kila kinachofuata hurithi muktadha huo. Soma mnyororo wa umiliki kabla ya kusoma skrini ya mipangilio.

Jukwaa hukujengea nini

Tangu Android 11 jukwaa hufichua uandalizi wa VPN kupitia VpnManager. Programu iliyoidhinishwa hueleza profaili ya IKEv2, na jukwaa huendesha mwenyewe ubadilishanaji wa IPsec na IKE, kwa hiyo programu haigusi pakiti kamwe. Huo ndio tofauti ya maana na programu ya VPN ya kibinafsi, ambayo hutekeleza VpnService na kuunda handaki katika mchakato wake yenyewe.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

Wito ulio juu ni mchoro wa umbo na si kizuizi cha kunakili: mjenzi ana aina kadhaa za uthibitishaji, zinatofautiana kwa kiwango cha API, na profaili pia hubeba nyenzo za uaminifu za cheti cha seva. Kinachojalisha kwa swali la umiliki ni nyembamba kuliko sintaksia.

Sifa mbili zinafuata kutoka kwa muundo huu. Profaili ni data, kwa hiyo inaweza kuandaliwa na msimamizi badala ya kuandikwa kwa mkono. Na handaki ni mtandao wa jukwaa, kwa hiyo huonekana kwa programu kama mtandao wenye usafirishaji wa VPN na si kama soketi ya programu nyingine.

Umiliki ni mtumiaji, kisha kifurushi

Watumiaji wengi wa Android ni utengano halisi, si lebo. Profaili ya kazi ni mtumiaji tofauti mwenye vifurushi vyake vilivyosakinishwa, data yake ya programu, keystore yake na nanga zake za uaminifu. Bidhaa hiyo hiyo iliyosakinishwa sehemu zote mbili ni nakala mbili zenye vitambulisho tofauti vya mtumiaji, hata wakati aikoni za kizinduzi na majina ya bidhaa yanafanana.

Uandalizi hurekodiwa dhidi ya kifurushi kinachopiga simu katika mtumiaji huyo. Kwa hiyo programu ya uandalizi inayofanya kazi katika profaili ya kibinafsi huunda handaki la kibinafsi, na programu za kazi katika profaili ya kazi hazioni chochote kutoka kwake. Kinyume chake pia ni kweli, ndiyo sababu handaki la profaili ya kazi halionekani kwa programu za kibinafsi bila sera iliyo wazi inayosema vinginevyo.

Kidhibiti cha sera ya kifaa kinaweza kuandaa kwa niaba ya profaili inayosimamiwa, na hilo hufafanua ingizo ambalo hakuna mtu ofisini anayekumbuka kuunda. Ikiwa unakagua simu, huyo ndiye mmiliki anayewezekana wa profaili iliyofifia, na si jukumu lako kuifuta kama jaribio.

Milango mitatu kabla pakiti kusogea

Lango la kwanza ni mamlaka: usimamizi lazima uruhusu VPN hata kidogo, na baadhi ya usambazaji huzuia aina pia na si uwepo tu. La pili ni utambulisho: cheti cha mteja au vitambulisho lazima vipatikane kwa mtumiaji anayemiliki profaili, kwa sababu cheti kilicholewa kwenye keystore ya kibinafsi hakionekani kwa profaili ya kazi.

La tatu ni idhini na sera. Mtumiaji kwa kawaida huidhinisha muunganisho mara ya kwanza unapotumika, na msimamizi anaweza zaidi kuubandika kama unaofanya kazi kila wakati, ikiwa ni lazima kwa kufungwa ili trafiki isiweze kutoka nje ya handaki. Mipangilio hiyo huamua kinachotokea handaki linaposhuka, na hicho ndicho sehemu ambayo watumiaji huona.

Wigo ndio mahali hapo watatu wanakutana. Profaili huamua lango na utambulisho, wakati tabaka la sera huamua ni programu zipi zinazoweza kutumia handaki na kama trafiki inalazimishwa kupita ndani yake. Simu mbili zenye anwani za lango zinazofanana zinaweza kwa hiyo kuishi kwa namna tofauti kabisa.

Kwa nini muunganisho wa kibinafsi haugharamii programu za kazi

Trafiki kutoka programu ya kazi huzalishwa kwa mtumiaji wa kazi, na sera ya mtandao inayotumika ni ile ya mtumiaji huyo. Handaki lililoanzishwa katika profaili ya kibinafsi halibebi hiyo, bila kujali kiashiria kinaonekana kizuri kiasi gani. Ukweli huo mmoja hufafanua ripoti nyingi ambapo mtumiaji anaapa VPN imeunganishwa na programu moja maalum bado haiwezi kufikia huduma ya ndani.

Utatuzi wa majina hufuata mpaka huo huo. Viambishi vya DNS vya kibinafsi na nanga za uaminifu ni kwa mtumiaji, kwa hiyo jina la mwenyeji la ndani linalotatuliwa katika profaili ya kibinafsi linaweza kushindwa katika profaili ya kazi hata kwa handaki linaloonekana sawa, kwa sababu sera ya kitatuzi na hifadhi ya CA ni vitu tofauti.

Thibitisha kwenye usajili halisi, si simu ya maabara

Kwenye kifaa, tambua kwanza mmiliki wa ingizo: mtumiaji gani, kifurushi gani, na kama profaili ilikuja kutoka kwa mtoa huduma wa jukwaa au kutoka kwa programu inayotekeleza huduma yake ya VPN. Kisha thibitisha kwamba utambulisho ambao profaili inatarajia upo kweli katika keystore ya mtumiaji huyo.

Jaribu mzunguko wa maisha, si muunganisho tu. Ingia, fungua hifadhi ya vitambulisho, acha profaili ya kazi ipumzike kwa jioni, kisha irudishe na uangalie kama handaki linarudi bila kugusa kwa mkono. Profaili ya kazi inayojizima baada ya saa za kazi hubeba handaki lake pamoja nayo, na hiyo ni tabia inayotarajiwa na si hitilafu, mradi hali inayotarajiwa ya kutopatikana imeandikwa.

Mwishowe, jaribu programu ya kazi yenyewe dhidi ya kituo cha ndani kinachojulikana na ulinganishe na matokeo ya profaili ya kibinafsi. Vyote viwili vinaruhusiwa kutofautiana; kisichoweza kutofautiana ni modeli ya umiliki. Ikiwa handaki ni la mtumiaji asiye sahihi, kutoa cheti upya hakutarekebisha.

Usilazimishe suala kwa kuzindua shughuli za mipangilio zilizofichwa ili kufichua menyu, na usinakili funguo za kibinafsi kati ya profaili ili muunganisho uonekane. Marejeo ya VpnManager hufafanua kile anachoruhusiwa kuandaa mpigaji simu; ikiwa njia iliyoidhinishwa haijumuishi kesi yako, huo ni uamuzi wa msimamizi na si tatizo la mipangilio.