Chặn cấu hình VPN trên Android: danh sách kiểm tra triển khai

Ai đó yêu cầu bạn ngăn người ta tự cấu hình VPN trên các thiết bị Android được quản lý. Câu trả lời hấp dẫn là một quy tắc tường lửa chặn vài cổng quen thuộc. Câu trả lời đó bỏ qua cách nền tảng vận hành và cách ứng dụng thực sự kết nối.

Kiểm soát được hỗ trợ là một hạn chế quản lý trên thiết bị hoặc hồ sơ bạn sở hữu, và nó có phạm vi rõ ràng, hành vi phụ thuộc phiên bản và một ngoại lệ mà bạn phải cố ý cấu hình.

Thực hiện năm bước kiểm tra dưới đây theo thứ tự. Mỗi bước đều có thể vô hiệu hóa kế hoạch, nên hãy dừng ở bước đầu tiên không đứng vững.

Kiểm tra 1: quyết định thế nào là không có VPN

Hai yêu cầu ẩn sau cùng một câu. Một là không người dùng nào được tạo VPN của riêng mình. Hai là chỉ VPN đã được tổ chức phê duyệt mới được chạy. Cả hai đều chính đáng, và chúng tạo ra các cấu hình khác nhau, câu chuyện hỗ trợ khác nhau và kiểu thất bại khác nhau.

Viết ra bạn đang mua cái nào trước khi chạm vào bất kỳ bảng điều khiển quản lý nào. Nếu ý định là một đường hầm được phê duyệt duy nhất cho mọi người, bạn đang triển khai một con đường được phê duyệt với lệnh cấm xung quanh; nếu ý định là không có đường hầm nào cả, bạn cũng phải chấp nhận rằng các đường truy cập từ xa và xử lý sự cố sẽ thay đổi.

Sai ở đây và đợt triển khai sẽ có vẻ hoạt động trong khi lặng lẽ cắt VPN mà vận hành phụ thuộc vào, điều thường được người trực ca phát hiện vào một giờ bất tiện.

Kiểm tra 2: xác nhận quyền hạn bạn thực sự có

Android hiển thị hạn chế này qua UserManager.DISALLOW_CONFIG_VPN, được ghi lại trong tài liệu tham chiếu UserManager. Nó ngăn việc cấu hình và khởi động VPN, và đây không phải là cài đặt mà một ứng dụng thông thường có thể áp dụng cho chính nó hoặc cho ứng dụng khác.

Nó được áp dụng bởi một quản trị viên được ủy quyền: chủ sở hữu thiết bị cho toàn bộ thiết bị, hoặc chủ sở hữu hồ sơ cho hồ sơ được quản lý, với cùng quyền hạn dành cho chủ sở hữu hồ sơ bên trong hồ sơ được quản lý. Nếu EMM của bạn không thể hoạt động như một trong số đó, bạn không có kiểm soát này, và không lượng cấu hình chính sách nào trong bảng điều khiển tạo ra được nó.

Phạm vi quan trọng không kém quyền hạn. Một hạn chế áp dụng cho hồ sơ công việc quản lý hồ sơ đó, không phải phần cá nhân của cùng chiếc điện thoại. Mô tả điều đó như kiểm soát mọi thứ người dùng làm là không chính xác, và người đầu tiên cài VPN trong hồ sơ cá nhân rồi thấy nó hoạt động sẽ kiểm chứng điều này.

Kiểm tra 3: biết hành vi theo từng phiên bản

Hạn chế này đã thay đổi qua các bản phát hành, và những khác biệt quyết định đợt triển khai của bạn thực sự làm gì trên các thiết bị ngoài thực địa.

Dòng API 31 chính là dòng khiến người ta bất ngờ giữa đợt triển khai: trên những thiết bị đó, việc áp đặt không phải hình thức, nó ngắt một đường hầm đang chạy. Hãy lên kế hoạch cho việc đó như một sự kiện nhìn thấy được chứ không phải thay đổi cài đặt lặng lẽ.

Dòng API 24 chính là dòng cứu bạn: VPN luôn kết nối do chủ sở hữu cấu hình sống sót qua hạn chế, và đó là cách con đường được phê duyệt vẫn còn khả dụng.

Kiểm tra 4: giữ con đường được phê duyệt còn sống

Cấu hình và kiểm thử VPN luôn kết nối của tổ chức trước khi áp đặt hạn chế, không phải sau đó. Nếu áp đặt trước, thiết bị sẽ mất đường hầm và cả công cụ bạn dùng để chẩn đoán chúng cùng một lúc.

Xác minh rõ ràng ba điều: VPN luôn kết nối do chủ sở hữu tạo chứ không phải người dùng; nó khởi động trên những thiết bị đó sau khi áp đặt; và nó sống sót qua lần khởi động lại. Một đường hầm chỉ dựng lên bằng tay không phải con đường được phê duyệt; đó là hàng đợi phiếu hỗ trợ.

Giữ một tuyến phục hồi không phụ thuộc vào việc đường hầm có hoạt động hay không. Bảng điều khiển quản lý, tuyến quản trị cục bộ hoặc kênh ngoài băng đều dùng được. Điều không dùng được là giả định rằng bạn có thể sửa một chính sách hỏng qua chính kết nối mà chính sách vừa vô hiệu hóa.

Kiểm tra 5: xác minh, rồi mô tả giới hạn một cách trung thực

Kiểm thử bằng thiết bị thật và tài khoản thật. Xác nhận người dùng không thể thêm hoặc khởi động VPN, xác nhận đường hầm được phê duyệt kết nối và mang lưu lượng, và xác nhận hồ sơ cá nhân vẫn hành xử như tài liệu. Ba kết quả đó là tiêu chí nghiệm thu.

Sau đó hãy cẩn thận với điều bạn khẳng định. Hạn chế này quản lý khả năng VPN của Android. Nó không biến mọi kết nối được phép thành giao thức bị kiểm tra, và nó không ngăn ứng dụng định tuyến các yêu cầu của chính nó qua một proxy rõ ràng. Chặn UDP 500, UDP 4500 và một OpenVPN cổng không phải là cùng một kiểm soát, vì lưu lượng có thể đi qua nhiều phương thức vận chuyển, kể cả HTTPS trông bình thường.

Nếu yêu cầu rộng hơn khả năng VPN, hãy kết hợp điều này với chính sách phân phối ứng dụng, kiểm soát tài khoản và các hạn chế mạng phù hợp với môi trường. Và ghi lại những gì nằm ngoài phạm vi, để không ai lặp lại một hạn chế một phần như thể nó là đầy đủ trong lần đánh giá tiếp theo.