Android’da IKEv2 VPN profillari qurilmaga emas, foydalanuvchiga tegishli

Android’da «o‘rnatilgan VPN» iborasi bir-biriga bog‘liq bo‘lmagan ikki narsani qamrab oladi: platforma sizning nomingizdan ishga tushiradigan protokol amalga oshirilishi va ishlab chiqaruvchi ko‘rsatishga qaror qilgan sozlamalar shakli. Bular bir xil obyekt emas va hech biri tunnel aynan uning ilovalariga kerak bo‘lgan foydalanuvchiga tegishli ekaniga kafolat bermaydi. Tayyorlash muayyan foydalanuvchida muayyan qo‘ng‘iroq qiluvchi paket bilan amalga oshiriladi va keyingi hamma narsa shu kontekstni meros qilib oladi. Sozlamalar ekranini o‘qishdan oldin egalik zanjirini o‘qing.

Platforma siz uchun nima quradi

Android 11 dan boshlab platforma VPN tayyorlashni VpnManager orqali taqdim etadi. Tasdiqlangan ilova IKEv2 profilini tavsiflaydi, platforma esa IPsec va IKE almashinuvini o‘zi bajaradi, shuning uchun ilova paketlarga hech qachon tegmaydi. Bu o‘z VPN xizmatini amalga oshiruvchi va tunnelni o‘z jarayonida quradigan VpnService dan muhim farq.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

Yuqoridagi chaqiruv shaklning eskizi, nusxa ko‘chiriladigan blok emas: quvvatlagichda autentifikatsiyaning bir necha variantlari bor, ular API darajasiga qarab farq qiladi, profil server sertifikatining ishonch materialini ham olib yuradi. Egalik savoli uchun muhim narsa sintaksisdan torroq.

Bu dizayndan ikki xususiyat kelib chiqadi. Profil ma’lumot bo‘lgani uchun uni qo‘lda yozish o‘rniga administrator tayyorlashi mumkin. Va tunnel platforma tarmog‘i bo‘lgani uchun ilovalarga u boshqa ilovaning soketi emas, balki VPN transporti bo‘lgan tarmoq sifatida ko‘rinadi.

Egalik avval foydalanuvchi, keyin paket

Android’ning ko‘p foydalanuvchilik rejimi yorliq emas, haqiqiy ajratishdir. Ish profili o‘zining o‘rnatilgan paketlari, o‘z ilova ma’lumotlari, o‘z keystore’i va o‘z ishonch langarlari bo‘lgan alohida foydalanuvchidir. Bir xil mahsulot ikki joyda o‘rnatilsa, u turli foydalanuvchi identifikatorlariga ega ikki nusxa bo‘ladi, hatto ishga tushirgich belgilari va mahsulot nomlari bir xil bo‘lsa ham.

Tayyorlash o‘sha foydalanuvchidagi qo‘ng‘iroq qiluvchi paketga nisbatan qayd etiladi. Shuning uchun shaxsiy profilda ishlayotgan tayyorlash ilovasi shaxsiy tunnel yaratadi va ish profilidagi ish ilovalari undan hech narsa ko‘rmaydi. Aksi ham to‘g‘ri, shu sababli ish profili tunneli aniq siyosat boshqacha demasa, shaxsiy ilovalarga ko‘rinmaydi.

Qurilma siyosati kontrolleri boshqariladigan profil nomidan tayyorlashi mumkin va bu ofisda hech kim yaratganini eslay olmaydigan yozuvni tushuntiradi. Agar telefonni audit qilayotgan bo‘lsangiz, kulrang tusga kirgan profilning ehtimoliy egasi o‘sha, va uni tajriba sifatida o‘chirish sizning ishingiz emas.

Paket harakatlanishidan oldin uch darvoza

Birinchi darvoza vakolat: boshqaruv VPN’ga umuman ruxsat berishi kerak, ba’zi joylashtirishlar mavjudlik bilan birga turini ham cheklaydi. Ikkinchisi shaxs: mijoz sertifikati yoki hisob ma’lumotlari profilga ega foydalanuvchida mavjud bo‘lishi kerak, chunki shaxsiy keystore’ga import qilingan sertifikat ish profili uchun ko‘rinmaydi.

Uchinchisi rozilik va siyosat. Foydalanuvchi odatda ulanishni birinchi marta ishlatganda tasdiqlaydi, administrator esa uni qo‘shimcha ravishda doim yoqilgan qilib belgilashi mumkin, xohlasa bloklash bilan, shunda trafik tunneldan tashqariga chiqa olmaydi. Bu sozlamalar tunnel ishlamay qolganda nima bo‘lishini hal qiladi, foydalanuvchilar sezadigan qism ham shu.

Qamrov uchchisi uchrashadigan joy. Profil shlyuz va shaxsni belgilaydi, siyosat qatlami esa qaysi ilovalar tunneldan foydalanishi mumkinligini va trafik undan majburan o‘tishini hal qiladi. Shuning uchun bir xil shlyuz manzillariga ega ikki telefon butunlay boshqacha tutishi mumkin.

Nega shaxsiy ulanish ish ilovalarini qoplamaydi

Ish ilovasidan chiqadigan trafik ish foydalanuvchisida hosil bo‘ladi va qo‘llaniladigan tarmoq siyosati o‘sha foydalanuvchinikidir. Shaxsiy profilda o‘rnatilgan tunnel uni olib yurmaydi, indikator qanchalik sog‘lom ko‘rinmasin. Shu bitta fakt foydalanuvchi VPN ulangan deb qasam ichadigan, ammo bitta aniq ilova ichki xizmatga yeta olmaydigan holatlarning ko‘pini tushuntiradi.

Nomlarni hal qilish ham shu chegaraga bo‘ysunadi. Shaxsiy DNS qo‘shimchalari va ishonch langarlari har foydalanuvchi uchun, shuning uchun shaxsiy profilda hal bo‘ladigan ichki xost nomi ish profilida muvaffaqiyatsiz bo‘lishi mumkin, hatto tunnel teng ko‘rinsa ham, chunki hal qiluvchi siyosati va CA ombori boshqa obyektlardir.

Laboratoriya telefonida emas, haqiqiy ro‘yxatga olishda tekshiring

Qurilmada avval yozuv egasini aniqlang: qaysi foydalanuvchi, qaysi paket va profil platforma ta’minotchisidan keldimi yoki o‘z VPN xizmatini amalga oshiruvchi ilovadan. So‘ng profil kutayotgan shaxs o‘sha foydalanuvchining keystore’ida haqiqatan borligini tasdiqlang.

Faqat ulanishni emas, hayot siklini sinang. Kiring, hisob ma’lumotlari omborini oching, ish profili kechqurun to‘xtab tursin, keyin uni qaytaring va tunnel qo‘lda tegmasdan qaytadimi-yo‘qmi tekshiring. Ish vaqtidan keyin o‘chadigan ish profili tunnelini o‘zi bilan olib ketadi va bu nosozlik emas, kutilgan xatti-harakat, basharti kutilgan mavjud emas holat yozib qo‘yilgan bo‘lsa.

Nihoyat, ish ilovasining o‘zini ma’lum ichki endpointga qarshi sinang va shaxsiy profil natijasi bilan solishtiring. Ikkalasi farq qilishi mumkin; farq qilmasligi kerak bo‘lgan narsa egalik modelidir. Agar tunnel noto‘g‘ri foydalanuvchiga tegishli bo‘lsa, sertifikatni qayta chiqarish hech narsani tuzatmaydi.

Yashirin sozlamalar faoliyatini ishga tushirib menyuni ochishga urinmang va ulanish ko‘rinishi uchun profillar orasida maxfiy kalitlarni ko‘chirmang. VpnManager ma’lumotnomasi qo‘ng‘iroq qiluvchiga nima tayyorlashga ruxsat borligini bayon qiladi; tasdiqlangan yo‘l sizning holatingizni qamrab olmasa, bu sozlama muammosi emas, administrator qaroridir.