Bitta telefonda ikkita VPN: ilovalar sonini emas, tartibni tanlang

Ikkita VPN dan foydalanish bitta so'rov emas. Bu ikki tashkilotga birin-ketin yetib borish, ish va shaxsiy ilovalarni alohida saqlash yoki bir tunnelni boshqasining ichida ishga tushirishni anglatishi mumkin. Android bu uch holatni butunlay boshqacha usullarda boshqaradi va telefonga o'rnatilgan VPN ilovalar soni arxitektura emas. Ularni ajratadigan savol oddiy: bitta ilova uchun ayni damda ikkita yo'l bo'lishi kerakmi?

Uch tartib, bitta savol

Ikki tarmoq turli vaqtlarda ishlatilgani uchun javob yo'q bo'lsa, sizga ongli almashtirish kerak. Ilovalarning o'zi alohida bo'lgani uchun javob yo'q bo'lsa, sizga profillarni ajratish kerak, bunda har bir ilova o'z tunneliga ega kontekstda o'tiradi. Javob ha bo'lsa va bir yo'l ikkinchisini jismonan ko'tarishi kerak bo'lsa, sizga zanjir kerak va uchdan tartib dizaynning qismi bo'lgan yagona holat shu.

Qolgan hamma narsa shu tanlovdan kelib chiqadi. Almashtirishning o'tish oynasi, ajratishning siyosat chegarasi, zanjirning esa qo'shimcha xarajati va bog'liqlik xarajati bor. Noto'g'risini tanlash toza tarzda muvaffaqiyatsiz bo'lmaydi; ulanganga o'xshash telefon va hech qayerga yetmaydigan ilova hosil qiladi.

Bitta foydalanuvchi kontekstida almashtirish

Android har bir foydalanuvchiga bitta faol VPN xizmatiga ruxsat beradi. Xuddi shu kontekstda ikkinchi VPN ilovasini ishga tushirish birinchisini almashtiradi yoki butunlay rad etiladi; u hech qachon ikkita marshrut to'plamini birlashtirmaydi va ularning shifrlashini ustma-ust qo'ymaydi. Bitta foydalanuvchi ichida ikkita tunnel ketma-ketlik, yig'indi emas.

Kirish haqiqatan ketma-ket bo'lganda bu amaliy. Profillarni faoli aniq bo'ladigan qilib nomlang, almashtirishdan oldin har qanday nozik ishni tugating va ikkala yo'l ham to'liq o'rnatmagan qisqa oynani kuting. Brauzer yorlig'ini yopish sessiyani tugatish bilan bir xil emas: yorliq o'z hisobining holatini saqlab, keyingi so'rovni shunchaki yangi tanlangan tarmoq orqali yuborishi mumkin va odamlar keyin sezadigan oqish aynan shu.

Almashtirish bera olmaydigan narsa — bir vaqtda ikkala tarmoqda bo'lgan mashina. Agar ilovaga har tomondan shaxsiy manzil kerak bo'lsa, hech qanday mijoz intizomi uni yaratmaydi.

Profil bo'yicha ajratish

Boshqariladigan ish profili o'z ilovalari, kalit ombori va tarmoq siyosatiga ega alohida foydalanuvchi. Ish pochta mijozi tashkilot tunnelidan foydalanishi mumkin, shaxsiy brauzer esa shaxsiydan foydalanadi va ikkalasi bir vaqtda ulangan bo'lishi mumkin, chunki ular joy uchun kurashayotgan bir kontekstda emas.

Ajratish ham chegaradir. Shaxsiy brauzer ish tunnelini qarzga olmaydi, ishning DNS qo'shimchalarini ko'rmaydi va ikkala xizmat ham ulangan ko'ringani uchungina ish tarmog'iga yetib bormaydi. Kimdir havola ochilmayotganini aytganda, ikkita VPN dan biriga tegishdan oldin ilovaning qaysi nusxasi u bilan shug'ullanganini va qaysi profil o'sha hisobga egaligini tekshiring.

Chegarani qat'iy deb hisoblang. Ish beruvchining marshrutlash qarorini chetlab o'tish uchun ikkinchi profil yaratish yoki ish profilini olib tashlash tartibni ishlashga yaroqli qilgan ajratishni yo'q qiladi va boshqariladigan qurilmada bu odatda konfiguratsiya o'zgarishi emas, siyosat buzilishi.

Tartib dizayn bo'lgan zanjir

Zanjir — odamlar ikkalasini birga deyishganda odatda nazarda tutadigan tartib: telefon tunnel i router tunnel i ichida harakatlanadi. U ishlashi mumkin va cheklovlar aniq. Tashqi provayder telefonning VPN oxirgi nuqtasigacha ishlaydigan yo'lga ruxsat berishi kerak, bu UDP asosidagi protokollar uchun tashqi xizmat bu trafikni to'smasligi yoki cheklamasligi kerakligini bildiradi.

Kim nima ko'rishini tushuning. Tashqi provayder ichki oxirgi nuqta tomon ulanishni ko'radi. Ichki provayder telefon trafigini tashqi chiqishdan oladi va oldinga uzatadi. Yakuniy manzil odatda ichki xizmat chiqishini ko'radi va zanjir bo'ylab hech bir provayder ko'r emas; ilova hisoblari yo'ldan qat'i nazar foydalanuvchini taniydi.

Amaliy xarajatlarni kuting. Har bir qatlam inkapsulyatsiya qo'shadi, shuning uchun samarali MTU pasayadi va bitta tunnel uchun yaxshi bo'lgan qiymat endi ichki tunnel MTU si ehtiyotkorlik bilan o'rnatilmaguncha bo'linadi yoki tiqilib qoladi. Ikki qatlam ikki nosozlik bog'liqligi va ikki to'plam tirik saqlash xabarlarini ham bildiradi, yo'qotishli tashqi bog'lanish ustidagi TCP asosidagi ichki tunnel o'lik serverga o'xshab tiqilib qolishi mumkin.

Eng muhimi, zanjir ikkita shaxsiy tarmoqni birlashtirmaydi. Marshrutlar, qoplangan prefikslar, DNS hal qilish va kirish qoidalari alohida qarorlar bo'lib qoladi va bitta VPN ko'targan router telefon boshqasini ko'targanda telefonga ikkala manzil maydonini ham bermaydi.

Dizaynni tuzatishdan oldin tekshiring

Tartibni bitta jumlada yozing va muvaffaqiyatsiz bo'lgan ilova ustida sinab ko'ring. Ketma-ket kirish bir vaqtda bitta tunnelni ko'rsatishi kerak; profillarni ajratish har bir ilovani o'z foydalanuvchisida ko'rsatishi kerak; zanjir ichki tunnel jismoniy emas, tashqi interfeys ustida o'rnatilayotganini ko'rsatishi kerak.

adb shell ip -br addr
adb shell ip route get 10.20.0.8
adb shell dumpsys connectivity | grep -i vpn

Agar yo'l qidiruvi jismoniy interfeysni nomlasa, ilova esa tunnelni kutsa, dizayn va ilova konteksti kelishmaydi va hech qanday qo'shimcha VPN ilovasi ularni yarashtirmaydi. Boshqariladigan profillar hujjati agar sizga marshrutlash emas, siyosat tafsiloti kerak bo'lsa, ajratish qoidalarini qamrab oladi.