Android Always-On และการบล็อกโดยไม่มี VPN: เลือกคู่ที่ถูกต้อง

Always-on ที่เชื่อมต่อใหม่และการบล็อกโดยไม่มี VPN เป็นการตั้งค่าสองอย่าง และการเปิดอย่างแรกไม่ได้เปิดอย่างที่สอง คู่ที่คุณต้องการขึ้นอยู่กับเงื่อนไขสามข้อ: ใครเป็นเจ้าของอุปกรณ์ อุโมงค์ครอบคลุมแอปใด และเกิดอะไรขึ้นก่อนปลดล็อกโทรศัพท์ หากผิดข้อใดข้อหนึ่ง โทรศัพท์จะดูเหมือนได้รับการป้องกันขณะที่แอปหนึ่งใช้เครือข่ายปกติอย่างเงียบ ๆ หรือดูเหมือนเสียทั้งที่ทำตามนโยบายอย่างถูกต้อง

สวิตช์สองตัวที่ให้สัญญาต่างกัน

Always-on คือสัญญาเรื่องความต่อเนื่อง ระบบจะรักษาบริการ VPN ที่เลือกไว้ให้ทำงานตลอดเหตุการณ์ในวงจรชีวิตที่รองรับ และเริ่มใหม่เมื่อบริการล่ม การบล็อกคือสัญญาเรื่องการจำกัด: เมื่ออุโมงค์ใช้งานไม่ได้ ทราฟฟิกที่ครอบคลุมก็ไม่มีเส้นทางออกนอกอุโมงค์ เซิร์ฟเวอร์ที่ล่ม หน้าต่างขอรหัสผ่านที่ไม่มีใครตอบได้ หรือไคลเอนต์ที่พัง ล้วนทำให้อุปกรณ์ที่บล็อกอยู่ออฟไลน์โดยเจตนา

มีปัจจัยที่สามอยู่เหนือทั้งสองอย่าง: ขอบเขตแยกตามแอปของไคลเอนต์ Android รองรับการกำหนดค่า VPN แยกตามแอป และขอบเขตนี้เป็นของไคลเอนต์หรือนโยบายการจัดการ ไม่ใช่ของสวิตช์ระบบทั้งสองตัว การตัดสินใจบล็อกโดยไม่กำหนดขอบเขตจะสร้างนโยบายที่กว้างหรือแคบกว่าความต้องการ

การตัดสินใจข้อแรก: อุปกรณ์ที่ถูกจัดการ หรือการตั้งค่าของผู้ใช้

บนอุปกรณ์ที่ถูกจัดการ ตัวควบคุมนโยบายอุปกรณ์อาจเป็นเจ้าของ Always-on และการล็อกสำหรับโปรไฟล์หนึ่ง และสวิตช์ในเครื่องอาจหายไป เป็นสีเทา หรือถูกรีเซ็ตในการรีเฟรชนโยบายครั้งถัดไป นั่นคือนโยบายทำงาน ไม่ใช่บั๊กที่ต้องหลบเลี่ยง ตรวจสอบนโยบายก่อนออกตามหาเมนูที่ซ่อนอยู่ และเปลี่ยนข้อกำหนดในนโยบายแทนที่จะเปลี่ยนที่ปลายทาง

บนอุปกรณ์ส่วนตัว ผู้ใช้เป็นผู้เลือก และคำถามที่ตรงไปตรงมาคือพวกเขายอมรับการออฟไลน์เมื่ออุโมงค์ใช้งานไม่ได้หรือไม่ การบล็อกคือการแลกกับความพร้อมใช้งาน และควรอธิบายเช่นนั้น การที่ไม่มีสวิตช์ไม่ใช่คำเชิญให้รูทโทรศัพท์หรือถอดการจัดการอุปกรณ์ หากแพลตฟอร์มไม่ได้ให้การควบคุมนั้น ข้อกำหนดก็ต้องเปลี่ยน

ขอบเขตแยกตามโปรไฟล์ ไม่ใช่ตามอุปกรณ์ โปรไฟล์ส่วนตัวและโปรไฟล์งานเป็นบริบทแยกกัน และ Android อนุญาต VPN ที่ใช้งานอยู่หนึ่งรายการต่อโปรไฟล์ผู้ใช้

การบล็อกในโปรไฟล์งานไม่ได้บอกอะไรเกี่ยวกับฝั่งส่วนตัว และการทดสอบบริบทหนึ่งไม่ได้ยืนยันอีกบริบทหนึ่ง

การตัดสินใจข้อสอง: บล็อกทั้งหมด หรือยกเว้นบางแอป

การยกเว้นแยกตามแอปในโหมดบล็อกคือส่วนที่คนมักเข้าใจกลับด้าน ในพฤติกรรมที่ Android เอกสารไว้ แอปที่ถูกยกเว้นจาก VPN แยกตามแอปอาจสูญเสียการเชื่อมต่อในโหมดบล็อก แทนที่จะใช้เครือข่ายปกติอย่างเงียบ ๆ ดังนั้นการยกเว้นไม่ใช่ใบอนุญาตให้แอปนั้นเข้าถึงอินเทอร์เน็ต และนโยบายที่สร้างบนสมมติฐานนั้นจะก่อให้เกิดความล้มเหลวที่อธิบายไม่ได้

เลือกอย่างตั้งใจ: บล็อกทราฟฟิกที่ครอบคลุมทั้งหมดและยอมรับว่าแอปที่ถูกยกเว้นจะมืดลง หรือปิดการบล็อกและยอมรับว่าเส้นทางสำรองเป็นไปได้ หากข้อกำหนดคือแอปหนึ่งต้องมีการเชื่อมต่อเสมอ โหมดบล็อกเป็นเครื่องมือที่ผิดสำหรับอุปกรณ์นั้น และการปรับแยกตามแอปมากเพียงใดก็ทำให้สองข้อกำหนดนั้นอยู่ร่วมกันไม่ได้

การตัดสินใจข้อสาม: เกิดอะไรขึ้นก่อนปลดล็อกและที่พอร์ทัล

ในไคลเอนต์ส่วนใหญ่ อุโมงค์จะไม่พร้อมจนกว่าผู้ใช้จะปลดล็อกอุปกรณ์ ดังนั้นให้ถือว่าช่วงแรกหลังบูตเป็นช่องว่างไม่ใช่ความล้มเหลว ยืนยันพฤติกรรมของไคลเอนต์ที่คุณจะติดตั้งก่อนอนุมัติ หลักการเดียวกันใช้กับการปลดล็อกด้วยข้อมูลรับรอง ซึ่งอาจเป็นสิ่งที่นโยบายบล็อกป้องกันไว้พอดี ตัดสินใจว่าช่องว่างนั้นยอมรับได้หรือไม่ก่อนติดตั้ง และทดสอบแทนที่จะไปพบในภาคสนาม

พอร์ทัลแบบ captive คืออีกขอบหนึ่ง เครือข่ายโรงแรมหรือสนามบินต้องมีเซสชันเบราว์เซอร์ที่ไม่ต้องยืนยันตัวตนก่อนสิ่งอื่นใดจะทำงาน และการบล็อกแบบเข้มงวดอาจทำให้ลงชื่อเข้าใช้ไม่ได้ คำตอบที่รองรับคือขั้นตอนการกู้คืนที่ได้รับอนุมัติ ไม่ว่าจะเป็นข้อยกเว้นชั่วคราวที่ถูกจัดการหรือขั้นตอนที่เขียนไว้เป็นเอกสาร ข้อยกเว้นนั้นควรระบุตัวกระตุ้น (SSID หรือเครือข่ายของพอร์ทัล) ระยะเวลาสูงสุด ใครให้ได้ และการตรวจสอบว่าการบังคับใช้กลับมาเองในภายหลัง การปิดการบังคับใช้เป็นวิธีแก้ที่อธิบายไม่ได้ไม่ใช่ข้อยกเว้นนั้น

เอกสารแพลตฟอร์มเกี่ยวกับไคลเอนต์ VPN บน Android ครอบคลุมพฤติกรรม Always-on และการบล็อก การยกเว้นแยกตามแอป และกฎหนึ่ง VPN ต่อโปรไฟล์ อ่านก่อนออกแบบโดยอิงพฤติกรรมที่จำได้จากรุ่นเก่า เพราะไคลเอนต์ที่คุณติดตั้งอาจแตกต่างอยู่แล้ว

ทดสอบสถานะออฟไลน์ แล้วเขียนบรรทัดการยอมรับ

ใช้ทราฟฟิกที่ไม่เป็นอันตรายและการทดสอบความล้มเหลวที่ไคลเอนต์รองรับ ตรวจสอบการเชื่อมต่อปกติ การสูญเสียอุโมงค์ การกู้คืน และกรณีรีบูตก่อนปลดล็อก บันทึกแต่ละกรณีว่าแอปที่ครอบคลุมเชื่อมต่อได้ ถูกบล็อกตามที่ตั้งใจ หรือใช้เส้นทางอื่นโดยไม่คาดคิด

ตรวจสอบทรัพยากรและตัวแปลงชื่อ ไม่ใช่ไอคอนสถานะ อินเทอร์เฟซ VPN อาจมีอยู่ขณะที่เส้นทางที่ใช้งานได้นั้นใช้ไม่ได้ และไอคอนที่บอกว่าเชื่อมต่อแล้วไม่ใช่หลักฐานว่าแอปเข้าถึงอะไรได้ ทดสอบอุปกรณ์ที่แชร์เน็ตแยกด้วย: นโยบายของโทรศัพท์ไม่ได้สร้างการส่งต่อให้ไคลเอนต์ฮอตสปอต เพราะการแชร์เน็ตเป็นเส้นทางของมันเองที่มีพฤติกรรมของมันเอง

บรรทัดการยอมรับนั้นเฉพาะเจาะจงและทดสอบได้: แอปที่ตั้งใจในโปรไฟล์ที่ตั้งใจเข้าถึงอุโมงค์ที่อนุมัติ และอยู่ในสถานะบล็อกที่กำหนดเมื่อทำไม่ได้ ก่อนอนุมัติ:

• มีการกำหนดค่า Always-on และการบล็อกทั้งคู่ในที่ที่แพลตฟอร์มรองรับ และรู้ว่าใครเป็นเจ้าของแต่ละการตั้งค่า
• ขอบเขตแอปถูกกำหนดอย่างตั้งใจ และคุณยืนยันแล้วว่าเกิดอะไรขึ้นกับแอปที่ถูกยกเว้นในโหมดบล็อก
• ช่องว่างก่อนปลดล็อกและขั้นตอนพอร์ทัล captive ถูกตัดสินใจแล้ว ไม่ใช่ค้นพบภายหลัง
• การทดสอบความล้มเหลวรันบนประเภทอุปกรณ์ที่คุณติดตั้งจริง