ทำไม VPN แบบรายแอปจึงไปไม่ถึงสำเนางานของแอป Android

แอปเดียวปรากฏสองครั้งบนโทรศัพท์ที่มีโปรไฟล์งาน และสำเนาทั้งสองไม่ใช่เรื่องเดียวกัน VPN แบบรายแอปที่กำหนดค่าไว้ภายในบริบทหนึ่งจะควบคุมอินสแตนซ์ของบริบทนั้น จึงเป็นเหตุผลที่กฎซึ่งระบุชื่อแพ็กเกจยังอาจปล่อยสำเนาอีกชุดไว้ไม่ถูกแตะต้อง นี่ไม่ใช่บั๊กที่ต้องหลบเลี่ยง แต่เป็นเส้นเขตของโปรไฟล์ที่ทำสิ่งที่ออกแบบไว้อย่างถูกต้อง คำถามที่คุ้มค่าจะตอบคือบริบทใดเป็นเจ้าของ VPN และบริบทใดเป็นเจ้าของแอปที่คุณพยายามปกป้อง

ไอคอนเดียว การติดตั้งสองชุด เจ้าของนโยบายสองราย

Android ให้โปรไฟล์งานมีบริบทที่มีการจัดการของตัวเอง พร้อมแอป บัญชี และนโยบายแยกกัน ตัวเรียกใช้จึงแสดงรายการสองรายการที่ใช้ชื่อและตราสัญลักษณ์ร่วมกันได้ บริการ VPN ที่เริ่มภายในบริบทหนึ่งจะทำงานให้ผู้ใช้ของบริบทนั้น และนี่คือกลไกเบื้องหลังปัญหาทั้งหมด ไอคอนบอกว่าคุณแตะแอปใด ไม่ได้บอกว่าทราฟฟิกที่เกิดขึ้นเป็นของโปรไฟล์ใด ดังนั้นจึงต้องอ่านเจ้าของจากโปรไฟล์ ไม่ใช่จากรูป

องค์กรยังสามารถบังคับพฤติกรรมเปิดตลอดเวลาหรือบล็อกเมื่อไม่มี VPN สำหรับฝั่งที่ถูกจัดการ ซึ่งเปลี่ยนสิ่งที่เกิดขึ้นเมื่ออุโมงค์ล่ม ฝั่งส่วนตัวไม่มีการรับประกันเช่นนั้น เว้นแต่คุณจะสร้างขึ้นเอง

รายการแอปที่อนุญาตหมายความว่าอะไรจริง ๆ

การรองรับ VPN แบบรายแอปของ Android สร้างขึ้นบนรายการ ตามที่อธิบายไว้ใน คู่มือผู้ใช้ VPN และโปรไฟล์งาน และ รายการทั้งสองแบบมีค่าเริ่มต้นตรงกันข้าม รายการที่อนุญาตหมายความว่าเฉพาะแพ็กเกจที่ระบุชื่อเท่านั้นที่ใช้อุโมงค์และทุกอย่างอื่นถูกตัดออก ขณะที่รายการที่ไม่อนุญาตหมายความว่าทุกอย่างถูกรวมไว้ยกเว้นแพ็กเกจที่ระบุชื่อ หากกลับด้าน คุณก็สร้างสิ่งที่ตรงข้ามกับนโยบายที่ตั้งใจไว้ ทั้งที่หน้าจอการตั้งค่ายังดูสมเหตุสมผล รายการจะถูกประเมินภายในบริบทที่ VPN ทำงาน ชื่อแพ็กเกจที่มีอยู่ในทั้งสองโปรไฟล์จึงตรงกับสำเนาในบริบทนั้นเท่านั้น แพ็กเกจที่ไม่อยู่ในรายการของอีกโปรไฟล์ก็ไม่ใช่เรื่องของ VPN นี้เลย

เขียนพฤติกรรมไว้สำหรับสองหรือสามแอปที่สำคัญ เพราะความต่างระหว่างทุกอย่างยกเว้นกับเฉพาะเหล่านี้เป็นตัวตัดสินว่าแอปส่วนตัวจะรั่วออกนอกอุโมงค์หรือล้มเหลวแบบปิด เขียนตารางเล็ก ๆ ดีกว่าย่อหน้าตรงนี้ หนึ่งแถวต่อโปรไฟล์ พร้อมชนิดรายการและค่าเริ่มต้นสำหรับทุกอย่างอื่น

ฝั่งใดเป็นผู้รันอุโมงค์ และภายใต้นโยบายของใคร

VPN สำหรับผู้บริโภคไม่ได้ถอนการควบคุมขององค์กรออกจากโปรไฟล์ที่ถูกจัดการ และ VPN ของโปรไฟล์งานก็ไม่ใช่อุโมงค์ทั่วไปสำหรับแอปส่วนตัว หากองค์กรกำหนดให้ใช้ไคลเอนต์ของตนเองสำหรับแอปที่ถูกจัดการ ไคลเอนต์ส่วนตัวก็เป็นข้อตกลงแยกต่างหากที่มีนโยบายและรูปแบบความล้มเหลวของตัวเอง ตัดสินใจว่ากลไกใดควรรับทราฟฟิกใดก่อนเปรียบเทียบผลลัพธ์ ไม่อย่างนั้นคุณกำลังวัดสองระบบแล้วเรียกความต่างว่าบั๊ก ภายในบริบทของตัวเอง ฝั่งที่ถูกจัดการมักชนะ และนั่นคือพฤติกรรมที่ตั้งใจไว้

กรณีที่อึดอัดคือแอปที่ถูกจัดการซึ่งต้องการเส้นทางที่นโยบายที่ถูกจัดการไม่ได้ให้ไว้ นั่นคือคำขอข้อยกเว้นถึงองค์กร ไม่ใช่เหตุผลที่จะปิดโปรไฟล์งาน

ทดสอบอินสแตนซ์ที่คุณตั้งใจไว้จริง ๆ

เปิดสำเนาที่คุณสนใจและตรวจดูคำขอจากภายใน เพราะการตรวจที่อยู่สาธารณะในเบราว์เซอร์ส่วนตัวไม่ได้บอกอะไรเกี่ยวกับแอปงาน ตรวจสอบบัญชีที่ลงชื่อเข้าใช้และการแปลงชื่อภายในแยกจากกัน เนื่องจากชื่อภายในอาจขึ้นกับเส้นทางที่ถูกจัดการ ขณะที่การท่องเว็บสาธารณะอยู่ที่อื่น บันทึกว่าสำเนาใดให้ผลลัพธ์ใดในขณะทดสอบ และใส่โปรไฟล์ไว้ในป้ายกำกับ ภาพหน้าจอที่มีไอคอนเหมือนกันสองอันไม่ใช่หลักฐาน ทำซ้ำการตรวจสอบหลังเชื่อมต่อใหม่และหลังโปรไฟล์ถูกสร้างใหม่ เพราะนโยบายอาจถูกนำไปใช้ซ้ำในระหว่างนั้น

หากคุณบอกไม่ได้ว่าสำเนาใดตอบกลับ ให้แก้ป้ายกำกับก่อนสรุปผลใด ๆ ผลลัพธ์ที่กำกวมแย่กว่าไม่มีผลลัพธ์ เพราะภายหลังมันจะถูกอ้างอิงราวกับว่าตัดสินคำถามแล้ว

บันทึกความครอบคลุมเพื่อให้การทดสอบครั้งหน้าอยู่รอด

บันทึกข้อเท็จจริงสามอย่างพร้อมกันสำหรับแต่ละบริบท อินสแตนซ์ของแอป เจ้าของนโยบาย และความครอบคลุมที่คาดไว้ เท่านี้ก็พอให้คนถัดไปทำการทดสอบของคุณซ้ำโดยไม่ต้องเดาว่าเปิดไอคอนใด เพิ่มชนิดรายการและค่าเริ่มต้นสำหรับแพ็กเกจที่ไม่อยู่ในรายการ เพราะนั่นคือส่วนที่ผู้คนอ่านผิดบ่อยที่สุด

จากนั้นตรวจสอบชื่อภายในหนึ่งชื่อและที่อยู่ภายนอกหนึ่งรายการจากแต่ละฝั่ง และเขียนว่าควรเกิดอะไรขึ้นเมื่อฝั่งที่ถูกจัดการบล็อก VPN ส่วนตัว โทรศัพท์ที่ไม่มีฝั่งใดถูกครอบคลุมทั้งที่ทั้งสองดูเชื่อมต่ออยู่คือความล้มเหลวที่คุ้มค่าจะออกแบบป้องกัน เมื่อทั้งสองโปรไฟล์ต้องการอุโมงค์จริง ๆ ให้วางแผนสองข้อตกลงแทนที่จะเป็นกฎฉลาด ๆ ข้อเดียว