VPN açıkken Android güvenlik duvarı kuralı nerede durmalı
Aynı anda yalnızca bir VpnService etkin olabilir, bu yüzden güvenlik duvarı uygulaması ile VPN uygulaması üst üste binmez. Tek bir iş isteğini izleyin ve her kuralı trafiğin gerçekten geçtiği yere koyun.
Tek cümlelik bir politikanız var: bu uygulama iş hizmetine erişebilir, başka hiçbir yere erişemez. Sonraki soru ürün seçimi gibi görünüyor ama aslında bir yer sorusu, çünkü olası her uygulama noktası telefonun trafiğinin farklı bir alt kümesini görür. Bir gateway yalnızca tünele gireni görür. Telefon tarafındaki filtre yalnızca gözlemlemesine izin verileni görür. Tek bir isteği ikisinden de geçirmek yanıtı apaçık hale getirir.
Ürünle değil cümleyle başlayın
Bir şey seçmeden önce gereksinimi genişletin. Bu, paket ve çalıştığı profil demektir, çünkü iş profilindeki uygulama, kişisel profildeki aynı uygulamadan farklı bir kullanıcıdır. Hedef demektir: host, port ve protokol, hizmet adı değil. Bu adı çözen DNS yolunu ve tünel mevcut olmadığında ne olması gerektiğini de kapsar.
Yazıya döküldüğünde örneğin politikası dört satırdır: iş uygulaması iş hizmetine erişebilir; iş uygulaması başka hiçbir yere erişemez; diğer uygulamalar değişmez; tünel yokken iş uygulaması doğrudan bağlantıya düşmek yerine reddedilir. Her satırın bir sahibi vardır ve hepsi aynı sahip değildir.
Adım 1: telefonun kendisi neyi uygulayabilir
Root gerektirmeyen bir Android güvenlik duvarı, arkasında uzak bir tünel olmasa bile trafiği yerel olarak yakalayan bir VpnService'tir. Android, kullanıcı profili başına yalnızca bir etkin VPN hizmetine izin verir, bu yüzden ikinci bir güvenlik duvarı uygulaması birincinin arkasına zincirlenmez. Onun yerini alır ve ilk uygulamanın filtrelediği arayüz ortadan kalkar.
Bu yüzden bir VPN istemcisinin yanına güvenlik duvarı kurmak insanların beklediği birleşimi nadiren üretir. Güvenlik duvarı başlar ve VPN bağlantısı kesilirse hiçbir şey birleştirilmemiştir; ikisi yer değiştirmiştir. Arayüz değişimi işbirliği değildir ve belirti, diğer uygulama her açıldığında sürekli düşen bir tüneldir.
Desteklenen düzenlemeler var: hâlihazırda çalıştırdığınız VPN istemcisine yerleşik filtreleme, bir cihaz ilkesi denetleyicisi veya iş profili üzerinden yönetilen platform kontrolleri ya da satıcının belgelediği bir mimari. Geri kalan her şey, her uygulama güncellemesinden sonra yeniden doğrulanması gereken bir deneydir.
Adım 2: gateway neyi uygulayabilir
Trafik uzak uçta şifresi çözüldükten sonra gateway, iletilen paketleri onaylı adresler, hizmetler veya kimliği doğrulanmış VPN kimlikleriyle sınırlayabilir. Bu, ondan çıkan her şey için gerçek bir uygulamadır ve özel alt ağlara erişimi sınırlamak için doğru yerdir.
Almadığı şey, her sıradan IP paketine eklenen telefon uygulaması kimliğidir. Bir tünel adresini paylaşan birkaç uygulama, tasarım onlara ayrı adresler veya ayrı doğrulanmış kimlikler vermedikçe gateway için tek bir öznedir. Bu yüzden gateway üzerindeki kullanıcı başına kural, yönetim konsolu ona ne derse desin, telefondaki uygulama başına kural değildir.
Adım 3: asla ulaşmayanı listeleyin
VPN'den hariç tutulan bir uygulama yakındaki bir cihazla iletişim kurduğunda gateway'e asla ulaşmaz, bu yüzden çıkış güvenlik duvarı hiç almadığı bir paketi reddedemez. Aynısı kesinti sırasında istenmeyen doğrudan rota ve yerel erişim ağında gelen maruz kalma için de geçerlidir. Bunlar tanım gereği yerel sınırlardır.
Tersi de geçerlidir: bağlantıya izin veren yerel bir kural, gateway'in özel ağ ACL'si üzerinden erişim vermez. Tek bir istek her iki sınıra da tabi olabilir ve birini karşılamak diğeri hakkında hiçbir şey söylemez.
Adım 4: her kurala bir yol atayın
Bir şey yapılandırmadan önce kararı bir tabloya koyun, çünkü boş hücreler tasarımların başarısız olduğu yerlerdir.
| Path | Who can enforce it | Blind spot |
|---|---|---|
| Work app to the work service, tunnel up | Gateway ACL on address and service, plus a local block on other paths | The gateway cannot see which app sent the packet |
| Work app to other destinations, tunnel up | Local app-aware filter, or the gateway if those destinations are addressed there | The local filter must be the active VpnService |
| Work app with no tunnel | Local deny, so the app cannot take a direct path | Requires the filter to survive the tunnel going away |
| Nearby LAN device | Local policy only | The gateway never sees it |
İşleyen biçim, iki işi olan iki sınırdır. Uygulama farkında olan yerel bir sınır, doğrudan geri dönüş dahil telefon davranışını yönetir; gateway sınırı ise uzak kaynakları yönetir. Gateway tarafı iş hizmetine izin verip diğer her özel alt ağı reddedebilirken, telefon tarafındaki politika uygulamanın aksi halde izleyebileceği doğrudan rota hakkında kendi kararını verir.
Adım 5: taşımayı canlı tutun, sonra doğrulayın
Hangi yerel politikaya varırsanız varın, VPN'i kuran ve sürdüren taşımaya izin vermelidir. Bu taşımayı engellemek telefonu tünelsiz ve politika olmadan bırakır; bu hiçbir şeyi tutarlı biçimde uygulamaz ve uygulamanın ağı olmadığı için teşhis edilmesi zordur.
Sonra genel izlenim yerine özgün cümlenin her satırını doğrulayın: iş uygulaması iş hizmetine ulaşır, aynı uygulama başka bir hedefte reddedilir, iş dışı bir uygulama eskisi gibi davranır ve tünel durdurulduğunda iş uygulaması doğrudan bağlantıya düşmez. DNS yolunu ayrıca kontrol edin, çünkü özel DNS veya şifreli bir çözümleyici yalnızca adresleri denetleyen bir filtreyi atlatabilir.
Bu adımlardan biri telefonda karşılanamıyorsa gereksinim bir mimari sorusudur, güvenlik duvarı ayarı değildir. Politikayı kontrol ettiğiniz bir cihaz ile kontrol ettiğiniz bir gateway arasında bölmek genellikle dürüst yanıttır ve Android VPN bağlantısı belgeleri platformun tek bir hizmete neyi yapıp neyi yapamayacağını onaylayacağınız yerdir.