Android'de VPN yapılandırmasını engelleme: dağıtım kontrol listesi
Politikaya karar verin, gerçekten sahip olduğunuz yetkiyi doğrulayın, sürüme göre davranışı denetleyin ve uygulamadan önce onaylanmış sürekli bağlantı yolunu canlı tutun.
Biri sizden yönetilen Android cihazlarda insanların kendi VPN'lerini yapılandırmasını engellemenizi istiyor. Cazip yanıt, birkaç tanıdık bağlantı noktasını engelleyen bir güvenlik duvarı kuralıdır. Ancak bu yanıt platformun nasıl çalıştığını ve uygulamaların gerçekte nasıl bağlandığını göz ardı eder.
Desteklenen kontrol, sahibi olduğunuz cihaz veya profil üzerindeki bir yönetim kısıtlamasıdır ve bunun açık bir kapsamı, sürüme bağlı davranışı ve bilerek yapılandırmanız gereken bir istisnası vardır.
Aşağıdaki beş denetimi sırayla yapın. Her biri planı geçersiz kılabilir, bu yüzden tutmayan ilkinde durun.
Denetim 1: VPN olmamasının ne demek olduğuna karar verin
Aynı cümlenin arkasında iki gereksinim gizlidir. Biri, hiçbir kullanıcının kendi VPN'ini oluşturamamasıdır. Diğeri, yalnızca kuruluşun onayladığı VPN'in çalışabilmesidir. İkisi de meşrudur ve farklı yapılandırmalar, farklı destek hikâyeleri ve farklı arıza biçimleri üretirler.
Herhangi bir yönetim konsoluna dokunmadan önce hangisini satın aldığınızı yazın. Amaç herkes için tek bir onaylanmış tünelse, çevresinde yasak olan onaylanmış bir yol uyguluyorsunuz; amaç hiç tünel yoksa, uzaktan erişim ve sorun giderme yollarının değişeceğini de kabul etmelisiniz.
Burada hata yaparsanız dağıtım çalışıyor gibi görünürken operasyonun bağlı olduğu VPN'i sessizce keser; bunu genellikle nöbetteki kişi uygunsuz bir saatte keşfeder.
Denetim 2: gerçekten sahip olduğunuz yetkiyi doğrulayın
Android bu kısıtlamayı UserManager.DISALLOW_CONFIG_VPN aracılığıyla sunar, UserManager başvurusunda belgelenmiştir. VPN yapılandırmasını ve başlatılmasını engeller ve sıradan bir uygulamanın kendisine veya diğer uygulamalara uygulayabileceği bir ayar değildir.
Yetkili bir yönetici tarafından uygulanır: cihazın tamamı için cihaz sahibi veya yönetilen profil için profil sahibi; aynı yetki yönetilen profilin içindeki profil sahibi için de geçerlidir. EMM'niz bunlardan biri olarak davranamıyorsa bu kontrole sahip değilsinizdir ve konsolda ne kadar politika yapılandırırsanız yapılandırın onu oluşturmaz.
Kapsam da en az yetki kadar önemlidir. İş profiline uygulanan bir kısıtlama o profili yönetir, aynı telefonun kişisel tarafını değil. Bunu kullanıcının yaptığı her şey üzerinde kontrol olarak tanımlamak doğru değildir ve kişisel profilde VPN kurup çalıştığını gören ilk kişi bunu test edecektir.
Denetim 3: sürüme göre davranışı bilin
Kısıtlama sürümler arasında değişti ve farklar, dağıtımınızın sahadaki cihazlarda gerçekte ne yapacağını belirler.
| Platform sınırı | Belgelenmiş davranış |
|---|---|
| Cihaz veya profil sahibi | Kısıtlama o sahibin yetkisi altında uygulanabilir |
| API 24 ve üzeri | Cihaz veya profil sahibinin yapılandırdığı sürekli açık VPN hâlâ sistem tarafından başlatılır |
| API 31 ve üzeri | Kısıtlamayı açmak, kullanıcının zaten çalıştırdığı VPN'in bağlantısını keser |
API 31 satırı, insanları dağıtımın ortasında şaşırtan satırdır: o cihazlarda uygulama kozmetik değildir, zaten çalışan bir tünelin bağlantısını keser. Bunu sessiz bir ayar değişikliği değil, görünür bir olay olarak planlayın.
API 24 satırı sizi kurtaran satırdır: sahibin yapılandırdığı sürekli açık VPN kısıtlamadan sağ çıkar ve onaylanmış yol ancak böyle erişilebilir kalır.
Denetim 4: onaylanmış yolu canlı tutun
Kuruluşun sürekli açık VPN'ini kısıtlamayı uygulamadan önce yapılandırın ve test edin, sonra değil. Önce uygularsanız cihazlar hem tüneli hem de onları teşhis edeceğiniz araçları aynı anda kaybeder.
Üç şeyi açıkça doğrulayın: sürekli açık VPN'in kullanıcı tarafından değil sahip tarafından oluşturulduğunu; uygulamadan sonra bu cihazlarda başladığını; ve yeniden başlatmadan sağ çıktığını. Yalnızca elle açılan bir tünel onaylanmış yol değildir; bir destek bileti kuyruğudur.
Tünelin açık olmasına bağlı olmayan bir kurtarma yolu tutun. Yönetim konsolu, yerel yönetici yolu veya bant dışı kanal hepsi işe yarar. İşe yaramayan, bozuk bir politikayı politikanın az önce kapattığı bağlantı üzerinden düzeltebileceğinizi varsaymaktır.
Denetim 5: doğrulayın, sonra sınırı dürüstçe tanımlayın
Gerçek bir cihaz ve gerçek bir hesapla test edin. Bir kullanıcının VPN ekleyemediğini veya başlatamadığını doğrulayın, onaylanmış tünelin bağlandığını ve trafik taşıdığını doğrulayın ve kişisel profilin hâlâ belgelendiği gibi davrandığını doğrulayın. Bu üç sonuç kabul ölçütleridir.
Sonra ne iddia ettiğinize dikkat edin. Kısıtlama Android'in VPN yeteneğini yönetir. İzin verilen her bağlantıyı denetlenen bir protokole dönüştürmez ve bir uygulamanın kendi isteklerini açık bir vekil sunucu üzerinden yönlendirmesini engellemez. UDP 500, UDP 4500 ve bir OpenVPN bağlantı noktasını engellemek aynı kontrol değildir, çünkü trafik sıradan görünen HTTPS de dahil birçok taşıyıcı üzerinden gidebilir.
Gereksinim VPN yeteneğinden daha genişse, bunu uygulama dağıtım politikası, hesap kontrolleri ve ortama uygun ağ kısıtlamalarıyla birleştirin. Ve kapsam dışında kalanları kaydedin ki kimse bir sonraki denetimde kısmi bir kısıtlamayı tamamıymış gibi tekrarlamasın.