Android'de IKEv2 VPN profilleri cihaz başına değil, kullanıcı başınadır

Yerleşik VPN ifadesi Android'de birbiriyle ilgisiz iki şeyi kapsar: platformun sizin adınıza çalıştırdığı bir protokol uygulaması ve üreticinin göstermeye karar verdiği ayar biçimi. Bunlar aynı nesne değildir ve hiçbiri tünelin, uygulamaları ona ihtiyaç duyan kullanıcıya ait olduğunu garanti etmez. Sağlama belirli bir kullanıcıda belirli bir çağıran paketle yapılır ve sonrasındaki her şey bu bağlamı devralır. Ayar ekranını okumadan önce sahiplik zincirini okuyun.

Platform sizin için ne inşa eder

Android 11'den itibaren platform, VPN sağlamayı VpnManager üzerinden sunar. Onaylanmış bir uygulama bir IKEv2 profili tanımlar ve platform IPsec ile IKE değişimini kendisi yürütür, böylece uygulama paketlere hiç dokunmaz. Bu, VpnService uygulayan ve tüneli kendi sürecinde kuran kendi VPN uygulamasından anlamlı farktır.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

Yukarıdaki çağrı, kopyalanacak bir blok değil biçimin taslağıdır: oluşturucunun birkaç kimlik doğrulama varyantı vardır, bunlar API düzeyine göre değişir ve profil sunucu sertifikasının güven malzemesini de taşır. Sahiplik sorusu için önemli olan, sözdiziminden daha dardır.

Bu tasarımdan iki özellik doğar. Profil veridir, bu yüzden elle yazılmak yerine bir yönetici tarafından sağlanabilir. Ve tünel bir platform ağıdır, bu yüzden uygulamalara başka bir uygulamanın soketi olarak değil, VPN taşımalı bir ağ olarak görünür.

Sahiplik önce kullanıcı, sonra paket

Android'in çok kullanıcılı yapısı etiket değil, gerçek ayrımdır. İş profili, kendi kurulu paketleri, kendi uygulama verileri, kendi keystore'u ve kendi güven çapaları olan ayrı bir kullanıcıdır. Aynı ürünün iki yerde kurulması, başlatıcı simgeleri ve ürün adları aynı olsa bile farklı kullanıcı kimliklerine sahip iki örnektir.

Sağlama, o kullanıcıdaki çağıran pakete karşı kaydedilir. Bu yüzden kişisel profilde çalışan bir sağlama uygulaması kişisel bir tünel oluşturur ve iş profilindeki iş uygulamaları ondan hiçbir şey görmez. Tersi de doğrudur, bu yüzden iş profili tüneli, açık bir ilke aksini söylemedikçe kişisel uygulamalara görünmez.

Bir cihaz ilkesi denetleyicisi yönetilen bir profil adına sağlama yapabilir ve bu, ofiste kimsenin oluşturduğunu hatırlamadığı kaydı açıklar. Bir telefonu denetliyorsanız, griye dönmüş bir profilin muhtemel sahibi odur ve onu bir deney olarak silmek sizin işiniz değildir.

Bir paket hareket etmeden önce üç kapı

İlk kapı yetkidir: yönetim VPN'e baştan izin vermelidir ve bazı dağıtımlar varlığın yanı sıra türü de kısıtlar. İkincisi kimliktir: istemci sertifikası veya kimlik bilgileri, profili sahiplenen kullanıcıda bulunmalıdır, çünkü kişisel keystore'a aktarılan bir sertifika iş profiline görünmez.

Üçüncüsü rıza ve ilkedir. Kullanıcı genellikle bağlantıyı ilk kullanımda onaylar ve yönetici ayrıca onu her zaman açık olarak sabitleyebilir, istenirse trafiğin tünel dışına çıkamaması için kilitle birlikte. Bu ayarlar tünel düştüğünde ne olacağını belirler ve kullanıcıların fark ettiği kısım budur.

Kapsam, üçünün buluştuğu yerdir. Profil ağ geçidini ve kimliği belirlerken ilke katmanı hangi uygulamaların tüneli kullanabileceğini ve trafiğin ondan zorla geçirilip geçirilmediğini belirler. Bu yüzden aynı ağ geçidi adreslerine sahip iki telefon çok farklı davranabilir.

Kişisel bağlantı iş uygulamalarını neden kapsamaz

Bir iş uygulamasından gelen trafik iş kullanıcısında üretilir ve uygulanan ağ ilkesi o kullanıcıdaki ilkedir. Kişisel profilde kurulan bir tünel onu taşımaz, gösterge ne kadar sağlıklı görünürse görünsün. Bu tek gerçek, kullanıcının VPN bağlı diye yemin ettiği ama belirli bir uygulamanın yine de dahili bir hizmete ulaşamadığı bildirimlerin çoğunu açıklar.

Ad çözümlemesi aynı sınırı izler. Özel DNS sonekleri ve güven çapaları kullanıcı başınadır, bu yüzden kişisel profilde çözülen dahili bir ana bilgisayar adı, görünüşte eşdeğer bir tünelle bile iş profilinde başarısız olabilir, çünkü çözümleyici ilkesi ve CA deposu farklı nesnelerdir.

Laboratuvar telefonunda değil, gerçek bir kayıtta doğrulayın

Cihazda önce kaydın sahibini belirleyin: hangi kullanıcı, hangi paket ve profil platform sağlayıcısından mı yoksa kendi VPN hizmetini uygulayan bir uygulamadan mı geldi. Ardından profilin beklediği kimliğin gerçekten o kullanıcının keystore'unda bulunduğunu doğrulayın.

Yalnızca bağlantıyı değil yaşam döngüsünü test edin. Oturum açın, kimlik bilgileri deposunun kilidini açın, iş profili akşam için duraklatsın, sonra geri getirin ve tünelin elle dokunmadan dönüp dönmediğini kontrol edin. Mesai sonrası kapanan bir iş profili tünelini yanında götürür ve beklenen kullanılamaz durum yazıya döküldüğü sürece bu bir arıza değil beklenen davranıştır.

Son olarak iş uygulamasının kendisini bilinen bir dahili uç noktaya karşı test edin ve kişisel profilin sonucuyla karşılaştırın. İkisi farklı olabilir; farklı olmaması gereken şey sahiplik modelidir. Tünel yanlış kullanıcıya aitse sertifikayı yeniden düzenlemek hiçbir şeyi düzeltmez.

Gizli ayar etkinlikleri başlatıp bir menüyü açığa çıkararak sorunu zorlamayın ve bağlantı görünsün diye profiller arasında özel anahtarlar kopyalamayın. VpnManager referansı, çağıranın neleri sağlayabileceğini belgeler; onaylanmış yol sizin durumunuzu kapsamıyorsa bu bir ayar sorunu değil, yöneticinin kararıdır.