Pagharang sa VPN configuration sa Android: checklist para sa rollout

May humihiling sa iyong pigilan ang mga tao sa pag-configure ng sarili nilang VPN sa mga pinamamahalaang Android device. Ang nakakaakit na sagot ay isang firewall rule na humaharang sa ilang pamilyar na port. Nakakaligtaan ng sagot na iyon kung paano gumagana ang platform at kung paano talaga kumokonekta ang mga app.

Ang sinusuportahang kontrol ay isang paghihigpit sa pamamahala sa device o profile na pagmamay-ari mo, at mayroon itong malinaw na saklaw, pag-uugaling nakadepende sa bersyon, at eksepsiyon na dapat mong sadyang i-configure.

Daanan ang limang pagsusuri sa ibaba nang sunod-sunod. Alinman sa mga ito ay maaaring magpawalang-bisa sa plano, kaya huminto sa unang hindi tumatayo.

Pagsusuri 1: magpasya kung ano ang ibig sabihin ng walang VPN

May dalawang pangangailangang nagtatago sa likod ng isang pangungusap. Ang isa ay walang user ang makakagawa ng sarili niyang VPN. Ang isa pa ay tanging ang aprubadong VPN ng organisasyon ang maaaring tumakbo. Pareho silang lehitimo, at gumagawa sila ng magkaibang configuration, magkaibang kuwento ng suporta at magkaibang paraan ng pagpalya.

Isulat kung alin sa dalawa ang binibili mo bago mo hawakan ang anumang console ng pamamahala. Kung ang layunin ay isang aprubadong tunnel para sa lahat, nagpapatupad ka ng aprubadong landas na may pagbabawal sa paligid nito; kung ang layunin ay walang tunnel, kailangan mong tanggapin na magbabago rin ang mga landas ng remote access at pag-troubleshoot.

Magkamali dito at ang rollout ay tila gumagana habang tahimik na pinuputol ang VPN na umaasa ang operasyon, na kadalasang natutuklasan ng taong naka-duty sa hindi magandang oras.

Pagsusuri 2: tiyakin ang awtoridad na talagang taglay mo

Inilalantad ng Android ang paghihigpit sa pamamagitan ng UserManager.DISALLOW_CONFIG_VPN, na nakadokumento sa sanggunian ng UserManager. Pinipigilan nito ang VPN configuration at startup, at hindi ito setting na maaaring ilapat ng ordinaryong app sa sarili nito o sa ibang app.

Inilalapat ito ng awtorisadong administrator: isang device owner para sa buong device, o isang profile owner para sa pinamamahalaang profile, na may parehong awtoridad na makukuha ng profile owner sa loob ng pinamamahalaang profile. Kung hindi kayang kumilos ng iyong EMM bilang isa sa mga iyon, wala kang kontrol na ito, at walang dami ng configuration ng patakaran sa console ang makakalikha nito.

Kasinghalaga ng awtoridad ang saklaw. Ang paghihigpit na inilapat sa work profile ay namamahala sa profile na iyon, hindi sa personal na bahagi ng parehong telepono. Ang paglalarawan niyon bilang kontrol sa lahat ng ginagawa ng user ay hindi tumpak, at susubukan ito ng unang taong mag-i-install ng VPN sa personal na profile at makitang gumagana ito.

Pagsusuri 3: alamin ang pag-uugali ayon sa bersyon

Nagbago ang paghihigpit sa mga release, at ang mga pagkakaiba ang nagpapasya kung ano talaga ang gagawin ng iyong rollout sa mga device sa field.

Ang hilera ng API 31 ang nagpapaulat sa mga tao sa kalagitnaan ng rollout: sa mga device na iyon, ang pagpapatupad ay hindi pangkosmetiko, dinidiskonekta nito ang tunnel na tumatakbo na. Planuhin iyon bilang nakikitang pangyayari at hindi bilang tahimik na pagbabago ng setting.

Ang hilera ng API 24 ang nagliligtas sa iyo: ang VPN na laging naka-on na na-configure ng may-ari ay nakakalampas sa paghihigpit, at ganoon nananatiling magagamit ang aprubadong landas.

Pagsusuri 4: panatilihing buhay ang aprubadong landas

I-configure at subukan ang VPN na laging naka-on ng organisasyon bago mo ipatupad ang paghihigpit, hindi pagkatapos. Kung ipapatupad mo muna, sabay na mawawala sa mga device ang tunnel at ang mga tool na gagamitin mo sa pag-diagnose sa kanila.

Tiyakin nang tahasan ang tatlong bagay: na ang VPN na laging naka-on ay nilikha ng may-ari at hindi ng user; na nagsisimula ito sa mga device na iyon pagkatapos ng pagpapatupad; at na nakakalampas ito sa reboot. Ang tunnel na umaangat lamang nang manu-mano ay hindi aprubadong landas; ito ay pila ng mga ticket sa suporta.

Panatilihin ang isang landas ng pagbangon na hindi nakadepende sa pagiging naka-on ng tunnel. Gumagana ang console ng pamamahala, lokal na admin path, o out-of-band channel. Ang hindi gumagana ay ang ipagpalagay na maaari mong ayusin ang sirang patakaran sa pamamagitan ng koneksiyong pinatay lang ng patakaran.

Pagsusuri 5: tiyakin, pagkatapos ay ilarawan ang hangganan nang tapat

Subukan gamit ang tunay na device at tunay na account. Tiyakin na hindi makakadagdag o makakapagsimula ng VPN ang isang user, tiyakin na kumokonekta at nagdadala ng trapiko ang aprubadong tunnel, at tiyakin na ang personal na profile ay kumikilos pa rin ayon sa nakadokumento. Ang tatlong resultang iyon ang pamantayan sa pagtanggap.

Pagkatapos, mag-ingat sa iyong pinapahayag. Ang paghihigpit ay namamahala sa kakayahan ng VPN ng Android. Hindi nito ginagawang sinuring protocol ang bawat pinapayagang koneksiyon, at hindi nito pinipigilan ang isang app na i-route ang sarili nitong mga kahilingan sa pamamagitan ng tahasang proxy. Ang pagharang sa UDP 500, UDP 4500 at isang OpenVPN port ay hindi ang parehong kontrol, dahil ang trapiko ay maaaring maglakbay sa maraming transport, kabilang ang HTTPS na mukhang ordinaryo.

Kung mas malawak ang pangangailangan kaysa sa kakayahan ng VPN, pagsamahin ito sa patakaran sa pamamahagi ng app, mga kontrol sa account at mga paghihigpit sa network na angkop sa kapaligiran. At itala kung ano ang nananatili sa labas ng saklaw, upang walang umulit ng bahagyang paghihigpit bilang kumpleto sa susunod na audit.