VPN yoqilganda Android xavfsizlik devori qoidasi qayerda turishi kerak
Bir vaqtning o'zida faqat bitta VpnService faol bo'lishi mumkin, shuning uchun xavfsizlik devori ilovasi va VPN ilovasi ustma-ust tushmaydi. Bitta ish so'rovini kuzatib, har bir qoidani trafik haqiqatan o'tadigan joyga qo'ying.
Sizda bitta jumlali siyosat bor: bu ilova ish xizmatiga yeta oladi, boshqa hech narsaga emas. Keyingi savol mahsulot tanlashga o'xshaydi, lekin bu joy savoli, chunki har bir mumkin bo'lgan ijro nuqtasi telefon trafigining boshqa qismini ko'radi. Gateway faqat tunnelga kiradiganini ko'radi. Telefon tomonidagi filtr faqat kuzatishga ruxsat berilganini ko'radi. Bitta so'rovni ikkalasidan ham o'tkazish javobni ayon qiladi.
Mahsulotdan emas, jumladan boshlang
Biror narsa tanlashdan oldin talabni kengaytiring. Bu paket va u ishlaydigan profil degani, chunki ish profilidagi ilova shaxsiy profildagi xuddi shu ilovadan boshqa foydalanuvchi. Bu manzil degani: host, port va protocol, xizmat nomi emas. Bu nomni hal qiladigan DNS yo'lini va tunnel mavjud bo'lmaganda nima bo'lishi kerakligini ham bildiradi.
Yozma holda, misol uchun siyosat to'rt qatordan iborat: ish ilovasi ish xizmatiga yeta oladi; ish ilovasi boshqa hech narsaga yeta olmaydi; boshqa ilovalar o'zgarmaydi; tunnel bo'lmasa, ish ilovasi to'g'ridan-to'g'ri yo'lga o'tish o'rniga rad etiladi. Har bir qatorning egasi bor va ularning hammasi bir xil egasi emas.
1-qadam: telefonning o'zi nima ijro eta oladi
Root talab qilmaydigan Android xavfsizlik devori bu orqasida masofaviy tunnel bo'lmasa ham trafikni mahalliy ushlaydigan VpnService. Android foydalanuvchi profili boshiga faqat bitta faol VPN xizmatiga ruxsat beradi, shuning uchun ikkinchi xavfsizlik devori ilovasi birinchisining orqasiga ulanmaydi. U uning o'rnini bosadi va birinchi ilova filtrlayotgan interfeys yo'qoladi.
Shuning uchun VPN mijozi yoniga xavfsizlik devori o'rnatish odamlar kutgan kombinatsiyani kamdan-kam beradi. Agar xavfsizlik devori ishga tushsa va VPN uzilsa, hech narsa birlashtirilmagan; ikkalasi joy almashgan. Interfeysni almashtirish hamkorlik emas, alomat esa boshqa ilova ochilganda doim yiqiladigan tunnel.
Qo'llab-quvvatlanadigan tuzilmalar bor: siz allaqachon ishlatayotgan VPN mijoziga o'rnatilgan filtrlash, qurilma siyosati kontrolleri yoki ish profili orqali boshqariladigan platforma boshqaruvlari, yoki sotuvchi hujjatlashtirgan arxitektura. Qolgan hamma narsa har bir ilova yangilanishidan keyin qayta tekshirilishi kerak bo'lgan tajriba.
2-qadam: gateway nima ijro eta oladi
Trafik uzoq uchida shifrdan chiqarilgach, gateway uzatilayotgan paketlarni tasdiqlangan manzillar, xizmatlar yoki autentifikatsiya qilingan VPN identifikatsiyalari bilan cheklashi mumkin. Bu undan chiqadigan hamma narsa uchun haqiqiy ijro va xususiy quyi tarmoqlarga kirishni cheklash uchun to'g'ri joy.
U olmaydigan narsa har bir oddiy IP paketiga biriktirilgan telefon ilovasi identifikatsiyasi. Bitta tunnel manzilini bo'lishadigan bir necha ilova gateway uchun bitta subyekt, agar dizayn ularga alohida manzillar yoki alohida autentifikatsiya qilingan identifikatsiyalar bermasa. Shuning uchun gatewaydagi foydalanuvchi boshiga qoida telefondagi ilova boshiga qoida emas, boshqaruv konsoli uni qanday atamasin.
3-qadam: hech qachon yetib bormaydiganini sanang
VPNdan chiqarilgan ilova yaqin qurilma bilan bog'lansa gatewayga hech qachon yetib bormaydi, shuning uchun chiqish xavfsizlik devori hech qachon olmaydigan paketni rad eta olmaydi. Xuddi shu narsa uzilish paytida tasodifiy to'g'ridan-to'g'ri yo'lga va mahalliy kirish tarmog'idagi kiruvchi ta'sirga tegishli. Bular ta'rif bo'yicha mahalliy chegaralar.
Buning aksi ham to'g'ri: ulanishga ruxsat beradigan mahalliy qoida gatewayning xususiy tarmoq ACL orqali kirish bermaydi. Bitta so'rov ikkala chegaraga ham bo'ysunishi mumkin va birini bajarish ikkinchisi haqida hech narsa demaydi.
4-qadam: har bir qoidaga yo'l tayinlang
Biror narsani sozlashdan oldin qarorni jadvalga qo'ying, chunki bo'sh kataklar dizaynlar buziladigan joylardir.
| Path | Who can enforce it | Blind spot |
|---|---|---|
| Work app to the work service, tunnel up | Gateway ACL on address and service, plus a local block on other paths | The gateway cannot see which app sent the packet |
| Work app to other destinations, tunnel up | Local app-aware filter, or the gateway if those destinations are addressed there | The local filter must be the active VpnService |
| Work app with no tunnel | Local deny, so the app cannot take a direct path | Requires the filter to survive the tunnel going away |
| Nearby LAN device | Local policy only | The gateway never sees it |
Ishlaydigan shakl ikki vazifali ikki chegara. Ilovani biladigan mahalliy chegara telefon xatti-harakatini, jumladan to'g'ridan-to'g'ri qaytishni boshqaradi, gateway chegarasi esa masofaviy resurslarni boshqaradi. Gateway tomoni ish xizmatiga ruxsat berib, boshqa har bir xususiy quyi tarmoqni rad etishi mumkin, telefon tomonidagi siyosat esa ilova boshqa yo'l bilan tanlashi mumkin bo'lgan to'g'ridan-to'g'ri yo'l haqida o'zi qaror qiladi.
5-qadam: transportni tirik tuting, keyin tekshiring
Qaysi mahalliy siyosatni tanlasangiz ham, u VPNni o'rnatadigan va ushlab turadigan transportga ruxsat berishi kerak. Bu transportni bloklash telefonni tunnelsiz va siyosatsiz qoldiradi, bu hech narsani izchil ijro etmaydi va ilovada tarmoq yo'qligi sababli diagnostika qilish qiyin.
Keyin umumiy taassurot o'rniga asl jumlaning har bir qatorini tekshiring: ish ilovasi ish xizmatiga yetadi, xuddi shu ilova boshqa manzilda rad etiladi, ish bo'lmagan ilova avvalgidek ishlaydi va tunnel to'xtatilganda ish ilovasi to'g'ridan-to'g'ri ulanishga qaytmaydi. DNS yo'lini alohida tekshiring, chunki xususiy DNS yoki shifrlangan resolver faqat manzillarni tekshiradigan filtrni chetlab o'tishi mumkin.
Agar bu qadamlardan birini telefonda bajarib bo'lmasa, talab arxitektura savoli, xavfsizlik devori sozlamasi emas. Siyosatni siz boshqaradigan qurilma va siz boshqaradigan gateway o'rtasida bo'lish odatda halol javob, va Android VPN ulanish hujjati platforma bitta xizmatga nima ruxsat berishi va nima bermasligini tasdiqlaydigan joy.