แอปงานต้องการ VPN? ตรวจสอบสามชั้นนี้ก่อน

ข้อความบอกว่าแอปต้องใช้ VPN แต่โดยปกติแอปจะรายงานอาการแทนที่จะระบุสิ่งที่ปิดกั้นมัน มีเจ้าของที่แตกต่างกันสามรายที่สามารถสร้างประโยคนั้นได้ บริการส่วนตัวที่แอปติดต่อ โค้ดนโยบายของแอปเอง และชั้นการจัดการอุปกรณ์ที่ควบคุมโปรไฟล์งาน การที่รู้ว่าใครถามจะเปลี่ยนสิ่งที่คุณควรทำ และมีเพียงหนึ่งในสามเท่านั้นที่แก้ได้ด้วยการเชื่อมต่ออุโมงค์ การหาเจ้าของก่อนจะช่วยให้คุณไม่ต้องติดตั้งไคลเอนต์ใหม่ที่ไม่เคยเป็นปัญหาตั้งแต่แรก

แอปเองตรวจสอบอะไรได้บ้าง

ก่อนจะสันนิษฐานว่ามีกฎแพลตฟอร์มที่ซ่อนอยู่ จำไว้ว่า แอปธรรมดาสามารถเห็นได้ว่าการรับส่ง VPN ทำงานอยู่หรือไม่ ConnectivityManager รายงานเครือข่ายที่พา TRANSPORT_VPN และการไม่มี NET_CAPABILITY_NOT_VPN บอกผู้เรียกใด ๆ ว่าเส้นทางปัจจุบันผ่านอุโมงค์ นักพัฒนาที่ต้องการปฏิเสธการทำงานนอกอุโมงค์สามารถทำได้ด้วย API สาธารณะและไม่ต้องใช้เครื่องมือองค์กรใด ๆ

สิ่งที่แอปมองไม่เห็นด้วยวิธีนั้นคือ VPN เป็นของใคร ธงการรับส่งบอกว่ามีอุโมงค์อยู่ ไม่ได้บอกว่ามันสิ้นสุดที่ที่องค์กรของคุณคาดหวัง

เส้นทางของบริการ: ชื่อและที่อยู่ส่วนตัว

เวอร์ชันที่ซื่อสัตย์ที่สุดของข้อความไม่ใช่การตรวจสอบนโยบายเลย แอปจะแก้ชื่อโฮสต์ภายใน เช่น วิกิหรือปลายทาง API ที่มีอยู่เฉพาะในมุมมอง DNS ขององค์กร และการค้นหาจะล้มเหลวก่อนที่โค้ดนโยบายใด ๆ จะทำงาน อุโมงค์อาจเปิดอยู่และปล่อยทราฟฟิกอินเทอร์เน็ตทั่วไปผ่านไป ขณะที่ DNS แบบแบ่งส่วนส่งชื่อนั้นไปยังตัวแก้ไขที่ไม่เคยได้ยินชื่อนั้นมาก่อน

อาการตรงนี้แคบ โฮสต์หนึ่งล้มเหลว การเรียกเครือข่ายอื่น ๆ ของแอปยังทำงาน และความล้มเหลวปรากฏระหว่างการค้นหาชื่อ ไม่ใช่ตอนเริ่มต้น ใบรับรองภายในเพิ่มโหมดล้มเหลวที่สอง เพราะแอปที่ปักหมุดกับ CA ขององค์กรจะปฏิเสธใบรับรองสาธารณะแม้แพ็กเก็ตจะไหลอยู่

การเชื่อมต่อ VPN เชิงพาณิชย์แบบสุ่มไม่แก้ไขสิ่งใดในนั้น มันเปลี่ยนที่อยู่ขาออกของคุณและปล่อยให้ชื่อภายในแก้ไม่ได้เหมือนเดิม

ชั้นนโยบายของแอป

แอปสามารถมีประตูของตัวเองได้ การกำหนดค่าที่จัดการ อนุญาตให้องค์กรส่งคู่คีย์และค่าที่แอปประกาศ และแอปอ่านผ่าน RestrictionManager คีย์เช่นชื่อโปรไฟล์ที่จำเป็นหรือรายการเครือข่ายที่อนุญาตเป็นการออกแบบของนักพัฒนาทั้งหมด บังคับใช้ในโค้ดแอปด้วยข้อความข้อผิดพลาดใด ๆ ที่โค้ดนั้นเลือก

ชั้นนี้คือที่ที่ถ้อยคำมักเปิดเผยตัวเอง หากข้อความปรากฏทันทีตอนเริ่มต้น ก่อนการเรียกเครือข่ายใด ๆ และกล่าวถึงนโยบาย โปรไฟล์ หรือผู้ดูแลระบบ คุณน่าจะกำลังดูตรรกะของแอปไม่ใช่แพ็กเก็ตที่หลุด

การอ่านข้อจำกัดเดียวกันบนอุปกรณ์ส่วนตัวเป็นทางตัน อุปกรณ์ที่ไม่มีการจัดการไม่มีข้อจำกัดให้อ่าน แอปจึงถอยกลับไปใช้ค่าเริ่มต้นที่สร้างมา

ชั้นแพลตฟอร์ม: เปิดตลอดเวลาและการล็อก

การจัดการอุปกรณ์เพิ่มการบังคับใช้ที่แอปเอาชนะไม่ได้ ตัวควบคุมนโยบายอุปกรณ์สามารถเรียก setAlwaysOnVpnPackage สำหรับโปรไฟล์งาน โดยเลือกเปิดการล็อกได้ และเมื่อการล็อกเปิดอยู่ แพลตฟอร์มจะปฏิเสธทราฟฟิกที่ไม่ผ่านแพ็กเกจนั้น การบล็อกปรากฏเป็นสภาวะของระบบไม่ใช่ข้อผิดพลาดของแอป แอปอื่นในโปรไฟล์ก็หยุดเข้าถึงเครือข่ายเช่นกัน

ขอบเขตสำคัญ VPN ที่เปิดตลอดเวลาถูกกำหนดต่อผู้ใช้ ดังนั้นแพ็กเกจโปรไฟล์งานไม่ครอบคลุมโปรไฟล์ส่วนตัวของคุณ และ VPN ส่วนตัวไม่ตอบสนองแพ็กเกจโปรไฟล์งาน สองโปรไฟล์ สองนโยบายเครือข่ายอิสระ หนึ่งอุปกรณ์

นี่เป็นชั้นเดียวที่ VPN ที่ไม่เกี่ยวข้องช่วยไม่ได้ เพราะนโยบายระบุแพ็กเกจเฉพาะเจาะจงหนึ่งรายการ

แยกแยะสามอย่าง

ไล่ดูสัญญาณตามลำดับและหยุดที่รายการแรกที่ตรง ชื่อโฮสต์เดียวล้มเหลวขณะที่ทุกอย่างอื่นแก้ได้ชี้ไปที่เส้นทางของบริการ การปฏิเสธทันทีตอนเริ่มต้นพร้อมถ้อยคำนโยบายชี้ไปที่ตรรกะของแอป โปรไฟล์ทั้งหมดสูญเสียการเชื่อมต่อทุกครั้งที่ไคลเอนต์ที่อนุมัติตัดการเชื่อมต่อชี้ไปที่การล็อก และแอปที่ยอมรับอุโมงค์ใด ๆ กำลังตรวจสอบธงการรับส่ง ไม่ใช่ตัวตนขององค์กรคุณ

หลักฐานที่มีประโยชน์: ข้อความที่แน่นอนและเวลาของมัน แอปอื่นในโปรไฟล์เดียวกันยังมีการเชื่อมต่อหรือไม่ ชื่อส่วนตัวแก้ได้ภายในอุโมงค์ที่อนุมัติหรือไม่ และอุปกรณ์แสดงป้ายงานสำหรับแอปที่คุณเปิดหรือไม่

สิ่งที่ควรใส่ในคำขอรับการสนับสนุน

คำขอที่ระบุชั้นจะถูกส่งต่อไปอย่างถูกต้องตั้งแต่ครั้งแรก ตัวอย่างเช่น แอปโปรไฟล์งานเปิดขึ้น รายการทรัพยากรล้มเหลวหลัง VPN ที่อนุมัติเชื่อมต่อ การแก้ชื่อส่วนตัวล้มเหลวในการวินิจฉัยที่อนุญาต และแอปอื่นในโปรไฟล์ยังทำงานอยู่ สิ่งนี้อ่านได้ว่าเป็นปัญหาของเส้นทางหรือตัวแก้ไข และข้ามลูปการรีเซ็ตบัญชี

หากไม่มี VPN ที่อนุมัติเลย เส้นทางที่รองรับคือการลงทะเบียนหรือการจัดสรรใหม่ผ่านผู้ดูแลระบบของคุณ การลบโปรไฟล์การจัดการ การติดตั้งไคลเอนต์ที่ไม่เกี่ยวข้อง หรือการปลอมสถานะเครือข่ายเป็นการเปลี่ยนการจัดการความปลอดภัยแทนที่จะฟื้นฟู

เริ่มจากชั้น ไม่ใช่ไคลเอนต์ สัญญาณสามอย่างข้างต้นมักตัดสินเรื่องนี้ได้ในเซสชันเดียว