Saan Dapat Manirahan ang Isang Panuntunan ng Firewall ng Android Kapag Naka-On ang VPN

Mayroon kang isang pangungusap na patakaran: puwedeng maabot ng app na ito ang serbisyo ng trabaho, at wala nang iba. Ang susunod na tanong ay mukhang pagpili ng produkto, ngunit tanong ito ng lokasyon, dahil ang bawat posibleng punto ng pagpapatupad ay nakakakita ng ibang bahagi ng trapiko ng telepono. Ang gateway ay nakakakita lamang ng pumapasok sa tunnel. Ang filter sa gilid ng telepono ay nakakakita lamang ng pinapayagan itong obserbahan. Ang pagdaan ng isang kahilingan sa pareho ay nagpapalinaw ng sagot.

Magsimula sa pangungusap, hindi sa produkto

Palawakin ang pangangailangan bago pumili ng anuman. Nangangahulugan iyon ng pakete at profile kung saan ito tumatakbo, dahil ang app sa work profile ay ibang user kaysa sa parehong app sa personal na profile. Nangangahulugan ito ng destinasyon: host, port at protocol, hindi pangalan ng serbisyo. Nangangahulugan ito ng DNS path na nagre-resolve ng pangalang iyon, at nangangahulugan ito ng dapat mangyari kapag wala ang tunnel.

Kapag isinulat, ang patakaran para sa halimbawa ay may apat na linya: puwedeng maabot ng work app ang serbisyo ng trabaho; hindi puwedeng maabot ng work app ang iba pa; hindi nagbabago ang ibang app; kapag walang tunnel, tinatanggihan ang work app sa halip na bumalik sa direktang koneksyon. Bawat linya ay may may-ari, at hindi silang lahat ay iisang may-ari.

Hakbang 1: ano ang kayang ipatupad ng telepono mismo

Ang firewall ng Android na walang root ay isang VpnService na humuhuli ng trapiko nang lokal, kahit walang remote tunnel sa likod nito. Pinapayagan ng Android ang isang aktibong serbisyo ng VPN bawat profile ng user, kaya ang pangalawang app ng firewall ay hindi kumakabit sa likod ng una. Pinapalitan nito ang una, at nawawala ang interface na sinasala ng unang app.

Kaya bihirang magbigay ng kombinasyong inaasahan ng mga tao ang pag-install ng firewall sa tabi ng client ng VPN. Kung magsimula ang firewall at madiskonekta ang VPN, walang naikombina; nagpalitan ng puwesto ang dalawa. Ang pagpapalit ng interface ay hindi pakikipagtulungan, at ang sintomas ay tunnel na paulit-ulit na bumabagsak tuwing bubuksan ang kabilang app.

May mga sinusuportahang kaayusan: pagsasala na nakapaloob sa client ng VPN na ginagamit mo na, pinamamahalaang kontrol ng platform sa pamamagitan ng controller ng patakaran ng device o work profile, o arkitekturang dokumentado ng vendor. Anumang iba pa ay eksperimento na kailangang i-verify muli pagkatapos ng bawat update ng app.

Hakbang 2: ano ang kayang ipatupad ng gateway

Kapag na-decrypt ang trapiko sa dulong bahagi, maaaring limitahan ng gateway ang mga ipinadalang packet sa aprubadong address, serbisyo o authenticated na pagkakakilanlan ng VPN. Iyon ay tunay na pagpapatupad para sa lahat ng lumalabas dito, at ito ang tamang lugar upang limitahan ang access sa mga pribadong subnet.

Ang hindi nito natatanggap ay ang pagkakakilanlan ng app ng telepono na nakaugnay sa bawat ordinaryong packet ng IP. Ang ilang app na nagbabahagi ng isang address ng tunnel ay isang paksa para sa gateway, maliban kung bibigyan sila ng disenyo ng hiwalay na address o hiwalay na authenticated na pagkakakilanlan. Kaya ang panuntunan kada user sa gateway ay hindi panuntunan kada app sa telepono, anuman ang itawag dito ng console ng pamamahala.

Hakbang 3: ilista ang hindi kailanman dumarating

Ang app na ibinukod sa VPN na kumokonekta sa kalapit na device ay hindi kailanman umaabot sa gateway, kaya hindi matatanggihan ng firewall sa labasan ang packet na hindi nito natatanggap. Ganoon din sa hindi sinasadyang direktang ruta habang may outage at sa papasok na pagkakalantad sa lokal na network ng access. Ang mga iyon ay lokal na hangganan ayon sa kahulugan.

Totoo rin ang kabaligtaran: ang lokal na panuntunan na pumapayag sa koneksyon ay hindi nagbibigay ng access sa pamamagitan ng ACL ng pribadong network ng gateway. Ang isang kahilingan ay maaaring sumailalim sa dalawang hangganan, at ang pagsunod sa isa ay walang sinasabi tungkol sa isa.

Hakbang 4: bigyan ng ruta ang bawat panuntunan

Ilagay ang desisyon sa isang talahanayan bago mag-configure ng anuman, dahil ang mga blangkong cell ang lugar kung saan nabibigo ang mga disenyo.

Ang gumaganang hugis ay dalawang hangganan na may dalawang tungkulin. Ang lokal na hangganang may kamalayan sa app ang namamahala sa pag-uugali ng telepono, kabilang ang direktang pag-urong, at ang hangganan ng gateway ang namamahala sa malalayong resource. Maaaring payagan ng gilid ng gateway ang serbisyo ng trabaho at tanggihan ang bawat iba pang pribadong subnet, habang ang patakaran sa gilid ng telepono ay sariling nagpapasya tungkol sa direktang ruta na maaaring tahakin ng app.

Hakbang 5: panatilihing buhay ang transport, pagkatapos i-verify

Anuman ang lokal na patakarang piliin mo, kailangan nitong payagan ang transport na nagtatatag at nagpapanatili ng VPN. Ang pagharang sa transport na iyon ay nag-iiwan sa telepono na walang tunnel at walang patakaran, na walang naipapatupad nang tuloy-tuloy at mahirap i-diagnose dahil wala lang talagang network ang app.

Pagkatapos, i-verify ang bawat linya ng orihinal na pangungusap sa halip na ang pangkalahatang impresyon: naaabot ng work app ang serbisyo ng trabaho, tinatanggihan ang parehong app sa ibang destinasyon, kumikilos ang app na hindi pang-trabaho gaya ng dati, at kapag naka-stop ang tunnel ay hindi bumabalik ang work app sa direktang koneksyon. Suriin nang hiwalay ang DNS path, dahil ang pribadong DNS o naka-encrypt na resolver ay maaaring lumampas sa filter na address lang ang sinusuri.

Kung hindi matugunan ang isa sa mga hakbang na iyon sa telepono, ang pangangailangan ay tanong ng arkitektura at hindi setting ng firewall. Ang paghahati ng patakaran sa pagitan ng device na kontrolado mo at gateway na kontrolado mo ay karaniwang tapat na sagot, at ang dokumentasyon ng konektibidad ng VPN ng Android ang lugar upang kumpirmahin kung ano ang papayagan at hindi papayagan ng platform sa isang serbisyo.