Блокування налаштування VPN на Android: контрольний список упровадження

Хтось просить вас завадити людям налаштовувати власний VPN на керованих пристроях Android. Спокуслива відповідь — правило брандмауера, що блокує кілька знайомих портів. Ця відповідь оминає те, як працює платформа і як насправді підключаються застосунки.

Підтримуваний елемент керування — це обмеження керування на пристрої або профілі, яким ви володієте, і воно має явний обсяг, поведінку, залежну від версії, та виняток, який треба налаштувати свідомо.

Пройдіть п'ять перевірок нижче по порядку. Кожна може скасувати план, тож зупиніться на першій, яка не витримує.

Перевірка 1: вирішіть, що означає відсутність VPN

За одним і тим самим реченням ховаються дві вимоги. Одна — жоден користувач не може створити власний VPN. Друга — працювати може лише схвалений VPN організації. Обидві законні, і вони дають різні конфігурації, різні історії підтримки та різні режими відмови.

Запишіть, яку з двох ви купуєте, перш ніж торкатися консолі керування. Якщо намір — один схвалений тунель для всіх, ви впроваджуєте схвалений шлях із забороною навколо нього; якщо намір — узагалі без тунелів, доведеться також прийняти, що шляхи віддаленого доступу та усунення несправностей зміняться.

Помилитеся тут — і впровадження виглядатиме робочим, тихо відрізаючи VPN, від якого залежить експлуатація; зазвичай це виявляє черговий у незручну годину.

Перевірка 2: підтвердьте повноваження, які у вас справді є

Android надає обмеження через UserManager.DISALLOW_CONFIG_VPN, описане в довідці UserManager. Воно запобігає налаштуванню та запуску VPN і не є параметром, який звичайний застосунок може застосувати до себе чи до інших застосунків.

Його застосовує уповноважений адміністратор: власник пристрою для всього пристрою або власник профілю для керованого профілю, причому ті самі повноваження доступні власнику профілю всередині керованого профілю. Якщо ваш EMM не може діяти як один із них, у вас немає цього елемента керування, і жодне налаштування політик у консолі його не створить.

Обсяг важливий не менше за повноваження. Обмеження, застосоване до робочого профілю, керує цим профілем, а не особистим боком того самого телефону. Описувати це як контроль над усім, що робить користувач, неточно, і це перевірить перший, хто встановить VPN в особистому профілі й побачить, що він працює.

Перевірка 3: знайте поведінку за версіями

Обмеження змінювалося від випуску до випуску, і відмінності визначають, що ваше впровадження насправді робитиме на пристроях у полі.

Саме рядок API 31 дивує людей посеред упровадження: на цих пристроях застосування не косметичне, воно відключає тунель, який уже працював. Плануйте це як видиму подію, а не як тиху зміну налаштувань.

Рядок API 24 вас рятує: VPN постійного з'єднання, налаштований власником, переживає обмеження, і саме так схвалений шлях узагалі залишається доступним.

Перевірка 4: збережіть схвалений шлях робочим

Налаштуйте й перевірте VPN постійного з'єднання організації до застосування обмеження, а не після. Якщо застосувати спершу, пристрої втратять тунель і інструменти, якими ви б їх діагностували, одночасно.

Перевірте три речі явно: що VPN постійного з'єднання створює власник, а не користувач; що він запускається на цих пристроях після застосування; і що він переживає перезавантаження. Тунель, який піднімається лише вручну, — не схвалений шлях; це черга заявок до підтримки.

Тримайте шлях відновлення, який не залежить від того, чи працює тунель. Консоль керування, локальний адміністраторський шлях або позасмуговий канал — усі підходять. Не підходить припущення, що зламану політику можна виправити через те з'єднання, яке політика щойно вимкнула.

Перевірка 5: перевірте, а потім опишіть межу чесно

Перевірте на реальному пристрої та реальному обліковому записі. Переконайтеся, що користувач не може додати чи запустити VPN, що схвалений тунель підключається й передає трафік і що особистий профіль поводиться так, як задокументовано. Ці три результати і є критеріями приймання.

Далі будьте обережні з тим, що стверджуєте. Обмеження керує можливістю VPN в Android. Воно не перетворює кожне дозволене з'єднання на протокол, що перевіряється, і не заважає застосунку спрямовувати власні запити через явний проксі. Блокування UDP 500, UDP 4500 і одного OpenVPN порту — не той самий елемент керування, бо трафік може йти багатьма транспортами, включно зі звичайним на вигляд HTTPS.

Якщо вимога ширша за можливість VPN, поєднайте це з політикою розповсюдження застосунків, контролем облікових записів і мережевими обмеженнями, доречними для середовища. І запишіть, що залишається поза обсягом, щоб ніхто не повторив часткове обмеження як повне на наступному аудиті.