Wi-Fi almashgandan keyin SSID xavfsizlik devori qoidasi filtrlashni to‘xtatdi
SSID ga bog‘langan xavfsizlik devori Android noma’lum tarmoq nomini qaytarganda ochiq holda ishdan chiqadi. Identifikatsiyani ijro etishdan ajratib, noma’lum holatga o‘z siyosatini bering.
Qoida oddiy edi: trafikni faqat telefon ofis Wi-Fi siga ulangan paytda filtrla. U oylab ishladi, keyin bir tongda telefon o‘sha SSID da o‘sha kalit belgisi bilan o‘tirar edi va filtrlash to‘xtagan edi. Tarmoqda hech narsa o‘zgarmagan; o‘zgargan narsa, ilova tarmoq nomini ko‘ra oladimi yoki yo‘qmi. Android da «qaysi Wi-Fi daman» va «bu trafikni blokla» ikki alohida ish, ularni aralashtirgan xavfsizlik devori esa nom mavjud bo‘lmagan paytda ochiq holda ishdan chiqadi.
Alomat: identifikatsiya yo‘qoladi va siyosat uning ortidan boradi
SSID qoidasi qiymatni o‘qiydi va keyin shoxobcha tanlaydi. O‘qish foydali hech narsa qaytarmasa, kod nimadir qilishi kerak, odatiy sukut esa «kutilgan tarmoq emas, demak filtrlamaymiz». Bu sukut ruxsat muammosini trafik oqib ketishiga aylantiradi. Kalit belgisi ko‘rinib turadi, chunki VPN xizmati hali ishlayapti; u shunchaki boshqa shoxobchani qo‘llayapti.
Tarmoqqa emas, voqealar tartibiga qarang. Rad etilgan ruxsat oynasi, SSID ga kirishni boshqa ruxsat ortiga ko‘chirgan tizim yangilanishi, o‘chirilgan joylashuv xizmatlari yoki ish profili siyosatining o‘zgarishi telefon o‘sha kirish nuqtasida qolganda ham bir xil natija berishi mumkin.
Nom nega noma’lum bo‘lib qaytishi mumkin
WifiInfo.getSSID() joriy tarmoqning xizmatlar to‘plami identifikatorini qaytaradi va Android joylashuvga sezgir maydonlarga kirish ruxsatga bog‘liqligini hujjatlashtiradi. Kirish mavjud bo‘lmasa, chaqiruv baland ovozda ishdan chiqish o‘rniga UNKNOWN_SSID qaytaradi. Shuning uchun bo‘sh yoki noma’lum qiymat telefon Wi-Fi dan chiqqanining dalili emas; bu ilova tarmoqni tasniflay olmasligining dalili.
Ikki tekshiruv bu holatlarni ajratadi. Telefon ulanganini tasdiqlang va tizim nima xabar berishini ko‘ring, keyin ilovada shu Android versiyasida kerakli ruxsat haqiqatan borligini tasdiqlang:
adb shell cmd wifi status
adb shell dumpsys package <your.app> | grep -i -E "ACCESS_FINE_LOCATION|NEARBY_WIFI_DEVICES"Agar holat satri ulangan tarmoqni ko‘rsatib, ilova noma’lum nomni ko‘rsa, sizda ruxsat yoki API darajasidagi muammo bor, Wi-Fi muammosi emas. Xavfsizlik devori qoidalariga tegishdan oldin buni tuzating, chunki keyingi har bir qoida ilova o‘qiy olmaydigan qiymatga qarshi baholanadi.
Filtrlash aslida qayerda ishlaydi
Mahalliy Android xavfsizlik devori odatda trafikni uzoq serverga yubormasdan VpnService modelidan foydalanadi: virtual interfeysni oladi, o‘z qoidalarini qo‘llaydi va ruxsat berganini uzatadi. Platforma har bir foydalanuvchi profili uchun bitta faol VPN xizmatiga ruxsat beradi, ikkinchisi birinchisining ustiga qatlamlanmasdan uni almashtiradi. Shuning uchun alohida xavfsizlik devori ilovasi va alohida ish VPN i ikki bosqichli zanjir hosil qilmaydi; ulardan biri yutadi.
Bu SSID qoidasi uchun muhim, chunki ijro nuqtasi va kuzatuv nuqtasi turli komponentlar. Qurilmadan nima chiqishini VpnService hal qiladi; Wi-Fi API faqat yorliq beradi. Ilova to‘g‘ri ijro etib, noto‘g‘ri tasniflashi mumkin va bu maqoladagi nosozlik aynan shu.
Noma’lumga o‘z siyosatini bering
Tarmoq identifikatsiyasini uch holat deb qarang va qoidani chiqarishdan oldin har biri uchun siyosat yozing. Uchinchi holat, unutiladigan holat, hujumchi yoki noto‘g‘ri konfiguratsiya sizni aynan o‘shanga qo‘yadi.
| Observation | Policy to specify |
|---|---|
| Expected SSID is readable | The explicit filtering policy you designed |
| A different SSID is readable | The default policy for untrusted networks |
| Unknown, changing or unreadable | Fail closed until classification is reliable |
Yopiq holda ishdan chiqish noma’lum holat eng qulay emas, eng qat’iy asosli siyosatni meros olishini bildiradi. Agar bu yangi tarmoqda telefonni yaroqsiz qilsa, to‘g‘ri yechim ataylab qilingan va ko‘rinadigan istisno, bo‘sh qiymat tekshiruviga yashirilgan jim ishonch qarori emas.
Tanish SSID, yorliq, tarmoq operatorining dalili emas. Har kim ofis nomi bilan kirish nuqtasini ishga tushirishi mumkin, shuning uchun nom mos kelishi hech qachon nozik sessiya va ishonchsiz segment o‘rtasidagi yagona narsa bo‘lmasligi kerak.
O‘tishlarni sinang, barqaror holatni emas
Barqaror holatdagi sinov qoidani qurgan tarmoqda o‘tadi. Nosozliklar o‘tishlarda yashaydi: rad etilgan ruxsat, Wi-Fi dan mobilga, bir SSID dan boshqasiga, VPN xizmatining qayta ishga tushishi va boshqa VPN ilovasining interfeysni egallashi. Har biri uchun mavjud ulanishlar qayta ko‘rib chiqiladimi va holat noma’lum bo‘lganda himoyalangan trafik bloklangan holda qoladimi, shuni hal qiling.
Natijani uch gapda yozing: kuzatilgan shart, qarorni ijro etuvchi komponent va ataylab qilingan zaxira. Uchtadan biri bo‘lmasa, qoida hali siyosat emas; bu ofis tarmog‘ida tasodifan ishlaydigan taxmin.