Dalawang VPN sa isang telepono: piliin ang kaayusan, hindi ang bilang ng app

Ang paggamit ng dalawang VPN ay hindi isang kahilingan lamang. Maaaring ibig sabihin nito ang maabot ang dalawang organisasyon nang sunud-sunod, paghiwalayin ang mga app sa trabaho at personal, o magpatakbo ng isang tunnel sa loob ng isa pa. Iba't ibang paraan ang ginagamit ng Android sa tatlong kasong ito, at ang bilang ng mga VPN app na naka-install sa telepono ay hindi ang arkitektura. Ang tanong na naghihiwalay sa kanila ay simple: kailangan bang umiral ang dalawang landas sa parehong sandali para sa isang app?

Tatlong kaayusan, isang tanong

Kung ang sagot ay hindi, dahil ginagamit ang dalawang network sa magkaibang oras, gusto mo ng sinadyang paglipat. Kung ang sagot ay hindi dahil ang mga app mismo ay hiwalay, gusto mo ng paghihiwalay ng profile, kung saan ang bawat app ay nakaupo sa kontekstong nagmamay-ari ng sarili nitong tunnel. Kung ang sagot ay oo, at kailangang dalhin ng isang landas ang isa pa nang pisikal, gusto mo ng kadena, at ito ang tanging isa sa tatlo kung saan bahagi ng disenyo ang pagkakasunod-sunod.

Lahat ng iba ay sumusunod sa pagpiling iyon. May window ng paglipat ang paglipat, may hangganan ng patakaran ang paghihiwalay, at may dagdag na gastos at gastos sa dependency ang kadena. Ang pagpili ng mali ay hindi malinis na nabibigo; gumagawa ito ng teleponong mukhang konektado at app na walang naaabot.

Paglipat sa loob ng isang konteksto ng user

Pinapayagan ng Android ang isang aktibong serbisyo ng VPN bawat user. Ang pagsisimula ng pangalawang VPN app sa parehong konteksto ay pumapalit sa una o direktang tinatanggihan; hindi nito kailanman pinagsasama ang dalawang set ng ruta, at tiyak na hindi nito pinagsasalansan ang kanilang encryption. Sa loob ng isang user, ang dalawang tunnel ay isang pagkakasunod-sunod, hindi isang kabuuan.

Nagagawa ito kapag tunay na sunud-sunod ang pag-access. Pangalanan ang mga profile upang malinaw ang aktibo, tapusin ang anumang sensitibo bago lumipat, at asahan ang maikling window kung saan wala sa dalawang landas ang ganap na naitatag. Ang pagsasara ng tab ng browser ay hindi katulad ng pagtatapos ng sesyon: maaaring panatilihin ng tab ang estado ng account nito at ipadala lang ang susunod na kahilingan sa bagong piniling network, at iyon mismo ang pagtagas na napapansin ng mga tao pagkatapos.

Ang hindi maibibigay ng paglipat ay isang makinang nasa dalawang network nang sabay. Kung kailangan ng app ng pribadong address mula sa bawat panig, walang disiplina ng kliyente ang makakagawa nito.

Paghihiwalay ayon sa profile

Ang pinamamahalaang profile ng trabaho ay isang hiwalay na user na may sariling mga app, keystore at patakaran sa network. Maaaring gamitin ng kliyente ng email sa trabaho ang tunnel ng organisasyon habang ang personal na browser ay gumagamit ng personal, at pareho silang makakonekta nang sabay dahil wala sila sa parehong kontekstong nag-aagawan sa puwesto.

Ang paghihiwalay din ang hangganan. Hindi humihiram ang personal na browser ng tunnel sa trabaho, hindi nito nakikita ang mga suffix ng DNS sa trabaho, at hindi ito nakakaabot sa network ng trabaho dahil lang lumalabas na konektado ang dalawang serbisyo. Kapag may nag-ulat na hindi bumubukas ang isang link, tingnan kung aling kopya ng app ang humawak nito at aling profile ang nagmamay-ari ng account na iyon bago hawakan ang alinman sa dalawang VPN.

Ituring na fixed ang hangganan. Ang paglikha ng pangalawang profile o pag-alis ng profile ng trabaho upang iwasan ang desisyon sa routing ng employer ay sumisira sa mismong paghihiwalay na nagpagana sa kaayusan, at sa pinamamahalaang device ito ay karaniwang paglabag sa patakaran at hindi pagsasaayos ng configuration.

Isang kadena, kung saan ang pagkakasunod-sunod ang disenyo

Ang kadena ay ang kaayusang karaniwang tinutukoy ng mga tao kapag sinasabi nilang pareho nang sabay: naglalakbay ang tunnel ng telepono sa loob ng tunnel ng router. Maaari itong gumana, at tiyak ang mga hadlang. Dapat pahintulutan ng panlabas na provider ang gumaganang landas patungo sa VPN endpoint ng telepono, na para sa mga protocol na nakabatay sa UDP ay nangangahulugang hindi dapat harangan o limitahan ng panlabas na serbisyo ang trapikong iyon.

Unawain kung sino ang nakakakita ng ano. Nakikita ng panlabas na provider ang koneksyon patungo sa panloob na endpoint. Tinatanggap ng panloob na provider ang trapiko ng telepono mula sa panlabas na labasan at ipinapasa ito. Karaniwang nakikita ng huling destinasyon ang labasan ng panloob na serbisyo, at walang provider sa kahabaan ng kadena ang bulag; kinikilala pa rin ng mga account ng app ang user anuman ang landas.

Asahan ang praktikal na gastos. Bawat layer ay nagdadagdag ng encapsulation, kaya bumababa ang epektibong MTU at ang halagang maganda para sa isang tunnel ay nagkakapira-piraso o natigil hanggang sa ang MTU ng panloob na tunnel ay itakda nang konserbatibo. Ang dalawang layer ay nangangahulugan din ng dalawang dependency sa pagpalya at dalawang set ng keepalive na mensahe, at ang panloob na tunnel na nakabatay sa TCP sa isang panlabas na link na may pagkalugi ay maaaring tumigil sa paraang mukhang patay na server.

Higit sa lahat, hindi pinagsasama ng kadena ang dalawang pribadong network. Ang mga ruta, magkapatong na prefix, resolusyon ng DNS at mga tuntunin sa pag-access ay nananatiling hiwalay na desisyon, at ang router na may dalang isang VPN habang ang telepono ay may dalang isa pa ay hindi nagbibigay sa telepono ng dalawang espasyo ng address.

Suriin ang disenyo bago ito i-debug

Isulat ang kaayusan sa isang pangungusap at subukan ito laban sa app na nabigo. Dapat magpakita ang sunud-sunod na pag-access ng isang tunnel sa isang pagkakataon; dapat magpakita ang paghihiwalay ng profile ng bawat app sa sarili nitong user; dapat magpakita ang kadena na ang panloob na tunnel ay naitatag sa isang panlabas na interface at hindi sa pisikal.

adb shell ip -br addr
adb shell ip route get 10.20.0.8
adb shell dumpsys connectivity | grep -i vpn

Kung pinapangalanan ng paghahanap ng ruta ang pisikal na interface habang umaasa ang app sa tunnel, hindi magkasundo ang disenyo at ang konteksto ng app, at walang karagdagang VPN app ang magkakasundo sa kanila. Saklaw ng dokumentasyon tungkol sa pinamamahalaang profile ang mga tuntunin sa paghihiwalay kung kailangan mo ang detalye ng patakaran at hindi ang detalye ng routing.