VPN இயக்கத்தில் இருக்கும்போது Android firewall விதி எங்கே இருக்க வேண்டும்
ஒரே ஒரு VpnService மட்டுமே செயலில் இருக்க முடியும், எனவே firewall செயலியும் VPN செயலியும் ஒன்றன் மேல் ஒன்று அடுக்காது. ஒரு வேலை கோரிக்கையைப் பின்தொடர்ந்து ஒவ்வொரு விதியையும் அதன் போக்குவரத்து உண்மையில் செல்லும் இடத்தில் வையுங்கள்.
உங்களிடம் ஒரு வாக்கியக் கொள்கை உள்ளது: இந்த செயலி வேலைச் சேவையை அடையலாம், வேறு எதையும் அல்ல. அடுத்த கேள்வி தயாரிப்புத் தேர்வாகத் தெரிகிறது, ஆனால் அது இடம் பற்றிய கேள்வி, ஏனெனில் ஒவ்வொரு சாத்தியமான அமலாக்கப் புள்ளியும் தொலைபேசியின் போக்குவரத்தின் வேறு துணைக்குழுவைப் பார்க்கிறது. ஒரு gateway சுரங்கப்பாதைக்குள் நுழைவதை மட்டுமே பார்க்கிறது. தொலைபேசிப் பக்க வடிகட்டி தனக்கு அனுமதிக்கப்பட்டதை மட்டுமே பார்க்கிறது. ஒரு கோரிக்கையை இரண்டின் வழியாகக் கொண்டு செல்வது பதிலைத் தெளிவாக்குகிறது.
தயாரிப்பில் அல்ல, வாக்கியத்தில் தொடங்குங்கள்
எதையும் தேர்ந்தெடுப்பதற்கு முன் தேவையை விரிவாக்குங்கள். அதன் பொருள் தொகுப்பும் அது இயங்கும் சுயவிவரமும், ஏனெனில் வேலைச் சுயவிவரச் செயலி தனிப்பட்ட சுயவிவரத்தில் உள்ள அதே செயலியிலிருந்து வேறு பயனர். அதன் பொருள் இலக்கு: host, port மற்றும் protocol, சேவைப் பெயர் அல்ல. அதன் பொருள் அந்தப் பெயரைத் தீர்க்கும் DNS பாதை, மேலும் சுரங்கப்பாதை இல்லாதபோது என்ன நடக்க வேண்டும் என்பதும்.
எழுதப்பட்டால், எடுத்துக்காட்டின் கொள்கை நான்கு வரிகளைக் கொண்டது: வேலைச் செயலி வேலைச் சேவையை அடையலாம்; வேலைச் செயலி வேறு எதையும் அடையக்கூடாது; மற்ற செயலிகள் மாறாதவை; சுரங்கப்பாதை இல்லாமல், வேலைச் செயலி நேரடிப் பாதைக்கு மாறாமல் மறுக்கப்படுகிறது. ஒவ்வொரு வரிக்கும் ஒரு உரிமையாளர் உண்டு, எல்லோரும் ஒரே உரிமையாளர் அல்ல.
படி 1: தொலைபேசியே அமலாக்கக்கூடியது
root இல்லாத Android firewall என்பது பின்னால் தொலைச் சுரங்கப்பாதை இல்லாதபோதும் போக்குவரத்தை உள்ளூரில் பிடிக்கும் VpnService ஆகும். Android ஒரு பயனர் சுயவிவரத்திற்கு ஒரு செயலில் உள்ள VPN சேவையை மட்டுமே அனுமதிக்கிறது, எனவே இரண்டாவது firewall செயலி முதல் ஒன்றின் பின்னால் இணைக்கப்படாது. அது அதை மாற்றுகிறது, முதல் செயலி வடிகட்டிய இடைமுகம் மறைந்துவிடும்.
அதனால்தான் VPN முனையத்திற்கு அருகில் firewall நிறுவுவது மக்கள் எதிர்பார்க்கும் கலவையை அரிதாகவே தருகிறது. firewall தொடங்கி VPN துண்டிக்கப்பட்டால், எதுவும் இணைக்கப்படவில்லை; இரண்டும் இடங்களை மாற்றிக்கொண்டன. இடைமுக மாற்றீடு ஒத்துழைப்பு அல்ல, அறிகுறி என்பது மற்ற செயலி திறக்கும் ஒவ்வொரு முறையும் தொடர்ந்து விழும் சுரங்கப்பாதை.
ஆதரிக்கப்பட்ட ஏற்பாடுகள் உள்ளன: நீங்கள் ஏற்கனவே இயக்கும் VPN முனையத்தில் உள்ளமைந்த வடிகட்டுதல், சாதனக் கொள்கைக் கட்டுப்படுத்தி அல்லது வேலைச் சுயவிவரம் வழியாக நிர்வகிக்கப்படும் தளக் கட்டுப்பாடுகள், அல்லது விற்பனையாளர் ஆவணப்படுத்தும் கட்டமைப்பு. வேறு எதுவும் ஒவ்வொரு செயலி புதுப்பிப்பிற்குப் பிறகும் மீண்டும் சரிபார்க்க வேண்டிய பரிசோதனையே.
படி 2: gateway அமலாக்கக்கூடியது
தொலை முனையில் போக்குவரத்து மறைகுறியாக்கப்பட்டதும், gateway அனுப்பப்படும் பாக்கெட்டுகளை அனுமதிக்கப்பட்ட முகவரிகள், சேவைகள் அல்லது அங்கீகரிக்கப்பட்ட VPN அடையாளங்களுக்கு மட்டுப்படுத்தலாம். அது அதன் வழியாக வெளியேறும் அனைத்திற்கும் உண்மையான அமலாக்கம், தனிப்பட்ட துணை வலையங்களுக்கான அணுகலைக் கட்டுப்படுத்த சரியான இடமும் அதுவே.
அது பெறாதது ஒவ்வொரு சாதாரண IP பாக்கெட்டுடன் இணைக்கப்பட்ட தொலைபேசி செயலி அடையாளம். ஒரு சுரங்கப்பாதை முகவரியைப் பகிரும் பல செயலிகள் gateway-க்கு ஒரே பொருள், வடிவமைப்பு அவர்களுக்குத் தனி முகவரிகள் அல்லது தனி அங்கீகரிக்கப்பட்ட அடையாளங்களைத் தந்தால் தவிர. எனவே gateway-இல் பயனருக்கான விதி தொலைபேசியில் செயலிக்கான விதி அல்ல, நிர்வாகக் கன்சோல் அதை எப்படி அழைத்தாலும்.
படி 3: ஒருபோதும் வராததைப் பட்டியலிடுங்கள்
VPN-இலிருந்து விலக்கப்பட்ட ஒரு செயலி அருகிலுள்ள சாதனத்தைத் தொடர்பு கொண்டால் gateway-ஐ ஒருபோதும் அடையாது, எனவே வெளிச்செல்லும் firewall அது ஒருபோதும் பெறாத பாக்கெட்டை மறுக்க முடியாது. செயலிழப்பின் போது தற்செயலான நேரடிப் பாதைக்கும், உள்ளூர் அணுகல் வலையத்தில் உள்நுழைவு வெளிப்பாட்டிற்கும் இதுவே பொருந்தும். அவை வரையறையின்படி உள்ளூர் எல்லைகள்.
எதிர்மறையும் உண்மை: இணைப்பை அனுமதிக்கும் உள்ளூர் விதி gateway-இன் தனிப்பட்ட வலை ACL வழியாக அணுகலை வழங்காது. ஒரு கோரிக்கை இரண்டு எல்லைகளுக்கும் உட்படலாம், ஒன்றை நிறைவேற்றுவது மற்றொன்று பற்றி எதுவும் கூறாது.
படி 4: ஒவ்வொரு விதிக்கும் ஒரு பாதையை ஒதுக்குங்கள்
எதையும் கட்டமைப்பதற்கு முன் முடிவை ஒரு அட்டவணையில் வையுங்கள், ஏனெனில் காலி கலன்கள்தான் வடிவமைப்புகள் தோல்வியடையும் இடங்கள்.
| Path | Who can enforce it | Blind spot |
|---|---|---|
| Work app to the work service, tunnel up | Gateway ACL on address and service, plus a local block on other paths | The gateway cannot see which app sent the packet |
| Work app to other destinations, tunnel up | Local app-aware filter, or the gateway if those destinations are addressed there | The local filter must be the active VpnService |
| Work app with no tunnel | Local deny, so the app cannot take a direct path | Requires the filter to survive the tunnel going away |
| Nearby LAN device | Local policy only | The gateway never sees it |
வேலை செய்யும் வடிவம் இரண்டு வேலைகளுடன் இரண்டு எல்லைகள். செயலிகளை அறியும் உள்ளூர் எல்லை நேரடி பின்னிறக்கம் உட்பட தொலைபேசி நடத்தையை நிர்வகிக்கிறது, gateway எல்லை தொலை வளங்களை நிர்வகிக்கிறது. gateway பக்கம் வேலைச் சேவையை அனுமதித்து மற்ற ஒவ்வொரு தனிப்பட்ட துணை வலையத்தையும் மறுக்கலாம், அதே வேளை தொலைபேசிப் பக்கக் கொள்கை செயலி இல்லாவிட்டால் எடுக்கக்கூடிய நேரடிப் பாதையைப் பற்றி தானே முடிவு செய்கிறது.
படி 5: போக்குவரத்தை உயிர்ப்புடன் வைத்து, பிறகு சரிபார்க்கவும்
நீங்கள் தேர்ந்தெடுக்கும் எந்த உள்ளூர் கொள்கையும் VPN-ஐ நிறுவி பராமரிக்கும் போக்குவரத்தை அனுமதிக்க வேண்டும். அந்தப் போக்குவரத்தைத் தடுப்பது தொலைபேசியை சுரங்கப்பாதையும் கொள்கையும் இல்லாமல் விடும், இது எதையும் ஒரே மாதிரியாக அமலாக்காது, செயலிக்கு வலையம் இல்லாததால் கண்டறிவது கடினம்.
பிறகு ஒட்டுமொத்த உணர்வுக்குப் பதிலாக அசல் வாக்கியத்தின் ஒவ்வொரு வரியையும் சரிபார்க்கவும்: வேலைச் செயலி வேலைச் சேவையை அடைகிறது, அதே செயலி வேறு இலக்கில் மறுக்கப்படுகிறது, வேலை அல்லாத செயலி முன்போலவே நடக்கிறது, சுரங்கப்பாதை நிறுத்தப்பட்டால் வேலைச் செயலி நேரடி இணைப்புக்கு மாறாது. DNS பாதையைத் தனியாகச் சரிபார்க்கவும், ஏனெனில் தனிப்பட்ட DNS அல்லது மறைகுறியாக்கப்பட்ட தீர்வி முகவரிகளை மட்டும் பரிசோதிக்கும் வடிகட்டியைத் தவிர்க்கலாம்.
அந்தப் படிகளில் ஒன்றைத் தொலைபேசியில் நிறைவேற்ற முடியாவிட்டால், தேவை கட்டமைப்புக் கேள்வி, firewall அமைப்பு அல்ல. நீங்கள் கட்டுப்படுத்தும் சாதனத்திற்கும் நீங்கள் கட்டுப்படுத்தும் gateway-க்கும் இடையே கொள்கையைப் பிரிப்பதே பொதுவாக நேர்மையான பதில், மேலும் Android VPN இணைப்பு ஆவணம் தளம் ஒரு சேவைக்கு என்ன அனுமதிக்கும், என்ன அனுமதிக்காது என்பதை உறுதிப்படுத்தும் இடம்.