Tek telefonda iki VPN: uygulama sayısını değil, düzeni seçin

İki VPN kullanmak tek bir istek değildir. İki kuruluşa birbiri ardına ulaşmak, iş ve kişisel uygulamaları ayrı tutmak ya da bir tüneli diğerinin içinde çalıştırmak anlamına gelebilir. Android bu üç durumu tamamen farklı şekillerde ele alır ve telefonda kurulu VPN uygulamalarının sayısı mimari değildir. Onları ayıran soru basittir: aynı uygulama için aynı anda iki yol bulunmak zorunda mı?

Üç düzen, tek soru

İki ağ farklı zamanlarda kullanıldığı için yanıt hayırsa, bilinçli bir geçiş istiyorsunuz. Uygulamaların kendisi ayrı olduğu için yanıt hayırsa, her uygulamanın kendi tünelini sahiplenen bağlamda oturduğu profil ayrımını istiyorsunuz. Yanıt evetse ve bir yol diğerini fiziksel olarak taşımak zorundaysa, zincir istiyorsunuz ve sıralamanın tasarımın parçası olduğu tek durum bu üçünden budur.

Geri kalan her şey bu seçimden doğar. Geçişin bir geçiş penceresi, ayrımın bir politika sınırı vardır ve zincirin bir ek yük ve bağımlılık maliyeti vardır. Yanlış olanı seçmek temiz biçimde başarısız olmaz; bağlı görünen bir telefon ve hiçbir yere ulaşamayan bir uygulama üretir.

Tek kullanıcı bağlamında geçiş

Android kullanıcı başına bir etkin VPN hizmetine izin verir. Aynı bağlamda ikinci bir VPN uygulaması başlatmak birincinin yerini alır ya da doğrudan reddedilir; iki yol kümesini asla birleştirmez ve kesinlikle şifrelemelerini üst üste koymaz. Tek bir kullanıcı içinde iki tünel bir sıradır, toplam değil.

Erişim gerçekten sıralı olduğunda bu uygulanabilir. Etkin olanın belli olması için profillere ad verin, geçiş yapmadan önce hassas her şeyi bitirin ve iki yolun da tam olarak kurulmadığı kısa bir pencere bekleyin. Bir tarayıcı sekmesini kapatmak oturumu sonlandırmakla aynı değildir: sekme hesabının durumunu koruyabilir ve yalnızca sonraki isteği yeni seçilen ağ üzerinden gönderebilir, ve insanların sonradan fark ettiği sızıntı tam olarak budur.

Geçişin veremeyeceği şey, aynı anda iki ağda bulunan bir makinedir. Bir uygulama her iki taraftan özel adres gerektiriyorsa, hiçbir istemci disiplini bunu üretmez.

Profile göre ayırma

Yönetilen bir iş profili, kendi uygulamaları, anahtar deposu ve ağ politikası olan ayrı bir kullanıcıdır. Bir iş e-posta istemcisi kuruluşun tünelini kullanabilirken kişisel bir tarayıcı kişisel olanı kullanır ve ikisi aynı anda bağlı olabilir çünkü yeri paylaşmak için yarışan aynı bağlamda değildirler.

Ayırma aynı zamanda sınırdır. Kişisel tarayıcı iş tünelini ödünç almaz, iş DNS son eklerini görmez ve yalnızca iki hizmet de bağlı göründüğü için iş ağına ulaşmaz. Birisi bir bağlantının açılmadığını bildirdiğinde, iki VPN'den herhangi birine dokunmadan önce uygulamanın hangi kopyasının bunu ele aldığını ve hangi profilin o hesabı sahiplendiğini kontrol edin.

Sınırı sabit kabul edin. Bir işverenin yönlendirme kararını atlatmak için ikinci bir profil oluşturmak veya iş profilini kaldırmak, düzeni çalışır kılan ayrımı tam olarak yok eder ve yönetilen bir cihazda bu genellikle yapılandırma değişikliği değil politika ihlalidir.

Sıralamanın tasarım olduğu zincir

Zincir, insanların ikisi birlikte derken genellikle kastettikleri düzendir: telefonun tüneli yönlendiricinin tünelinin içinde yol alır. İşe yarayabilir ve kısıtlar belirlidir. Dış sağlayıcı, telefonun VPN uç noktasına işleyen bir yola izin vermelidir; bu, UDP tabanlı protokoller için dış hizmetin o trafiği engellememesi veya kısıtlamaması anlamına gelir.

Kimin neyi gördüğünü anlayın. Dış sağlayıcı iç uç noktaya doğru bir bağlantı görür. İç sağlayıcı telefonun trafiğini dış çıkıştan alır ve ileri iletir. Son hedef genellikle iç hizmetin çıkışını görür ve zincir boyunca hiçbir sağlayıcı kör değildir; uygulama hesapları yoldan bağımsız olarak kullanıcıyı tanımlar.

Pratik maliyetler bekleyin. Her katman kapsülleme ekler, bu yüzden etkin MTU düşer ve bir tünel için uygun olan bir değer artık iç tünelin MTU'su tutucu biçimde ayarlanana kadar parçalanır veya tıkanır. İki katman ayrıca iki arıza bağımlılığı ve iki canlı tutma iletisi kümesi demektir, ve kayıplı bir dış bağlantı üzerinde TCP tabanlı bir iç tünel ölü sunucu gibi görünen biçimlerde tıkanabilir.

En önemlisi, bir zincir iki özel ağı birleştirmez. Yollar, çakışan önekler, DNS çözümlemesi ve erişim kuralları ayrı kararlar olarak kalır ve bir VPN taşıyan yönlendirici ile başka bir VPN taşıyan telefon, telefona iki adres uzayını da vermez.

Hata ayıklamadan önce tasarımı denetleyin

Düzeni tek bir cümleyle yazın ve başarısız olan uygulamaya karşı sınayın. Sıralı erişim her seferinde tek bir tünel göstermelidir; profil ayrımı her uygulamayı kendi kullanıcısında göstermelidir; zincir, iç tünelin fiziksel yerine dış arayüz üzerinden kurulduğunu göstermelidir.

adb shell ip -br addr
adb shell ip route get 10.20.0.8
adb shell dumpsys connectivity | grep -i vpn

Uygulama tüneli beklerken yol araması fiziksel arayüzü adlandırıyorsa, tasarım ve uygulama bağlamı uyuşmuyor demektir ve hiçbir ek VPN uygulaması onları uzlaştırmaz. Yönlendirme yerine politika ayrıntısına ihtiyacınız varsa, yönetilen profiller belgeleri ayırma kurallarını kapsar.