Đã tích một ứng dụng trong OpenVPN? Cơ sở của danh sách mới quyết định
Cùng một gói được tích nghĩa là đưa vào hay loại trừ tùy theo cơ sở của danh sách. Trước tiên hãy chọn cơ sở chỉ-đưa-vào, kết nối lại, rồi kiểm tra toàn bộ quy trình.
Ô đánh dấu trông như toàn bộ quyết định, và trên Android thì không phải. Cùng một gói được tích nghĩa là “chỉ ứng dụng này dùng VPN” dưới cơ sở chỉ-đưa-vào và “ứng dụng này bỏ qua VPN” dưới cơ sở loại trừ các mục đã chọn. Người ta cài một ứng dụng khách, tìm thấy danh sách có nhãn Ứng dụng được phép, tích đúng một gói mình quan tâm, rồi ra về với chính sách làm điều ngược lại. Đổi ứng dụng khách hiếm khi giúp; chọn cơ sở trước khi chạm vào danh sách thì giúp.
Cơ sở là chính sách, không phải ô đánh dấu
Theo VpnService của Android, ứng dụng khách cấu hình định tuyến theo từng ứng dụng bằng addAllowedApplication hoặc addDisallowedApplication. Cái đầu giới hạn đường hầm ở các gói được liệt kê, cái sau đưa mọi thứ trừ chúng qua đường hầm. Các ứng dụng khách bọc cả hai trong một giao diện gần như giống hệt nhau, và một số đặt tên mục theo danh sách thay vì theo chế độ, nên chỉ tiêu đề mục không thể cho biết cơ sở nào đang hoạt động.
Hãy đọc nút điều khiển chế độ phía trên danh sách, không phải tiêu đề. Trong ứng dụng khách OpenVPN for Android gốc, danh sách ứng dụng được phép có cơ sở chỉ-đưa-vào và cơ sở loại trừ các mục đã chọn, và một bản dựng có thương hiệu có thể diễn đạt cả hai khác đi mà vẫn giữ hai hành vi đó. Ảnh chụp màn hình từ ứng dụng khách khác, hoặc từ phiên bản cũ hơn của chính nó, không phải bằng chứng về chế độ bạn đang ở.
| What the client shows | What a checked app gets |
|---|---|
| Allowed apps, include-only baseline | The app uses the tunnel; unchecked apps do not |
| Allowed apps, exclude-selected baseline | The app bypasses the tunnel; everything else uses it |
| No list configured | Client or profile default, commonly all apps |
Bảng đó chính là toàn bộ lầm tưởng. Tích ứng dụng là một phát biểu về một gói; cơ sở quyết định phát biểu đó là “đưa vào” hay “loại trừ”.
Chọn chế độ trước, rồi đến gói
Làm theo thứ tự này, vì một lựa chọn được tạo dưới cơ sở này có thể tồn tại sau khi đổi chế độ và âm thầm đảo ngược hiệu lực của nó:
- Xác định gói thật và xem đó là bản sao cá nhân hay bản sao hồ sơ công việc.
- Mở phần cài đặt chọn ứng dụng cho đúng hồ sơ VPN mà bạn kết nối.
- Đặt cơ sở có ý nghĩa là “chỉ những ứng dụng được chọn mới dùng VPN”.
- Đưa gói mong muốn vào và để các ứng dụng không liên quan ra ngoài tập hợp.
- Kết nối lại để ứng dụng khách dựng lại giao diện với danh sách mới.
Hồ sơ quan trọng ngang với gói. Một ứng dụng khách có thể có nhiều hồ sơ, và lựa chọn theo ứng dụng thuộc về hồ sơ bạn thực sự kết nối; sửa một hồ sơ bạn không bao giờ dùng thì không thay đổi gì. Trên thiết bị được quản lý, hồ sơ công việc là một người dùng riêng với bản sao ứng dụng và chính sách riêng, nên việc bản cá nhân nằm trong đường hầm không nói gì về bản công việc.
Kết nối lại trước khi đánh giá kết quả
VpnService đọc danh sách ứng dụng khi giao diện đường hầm được thiết lập. Một đường hầm đang chạy không nhất thiết tiếp nhận chỉnh sửa danh sách, và các ứng dụng khách khác nhau ở chỗ tự dựng lại hay chờ bạn ngắt kết nối rồi kết nối lại.
Nếu thay đổi có vẻ không làm gì, hãy kiểm tra việc kết nối lại trước khi nghi ngờ danh sách. Sau đó thực hiện một yêu cầu mới thay vì tải lại trang đã mở sẵn: ứng dụng giữ một kết nối đã thiết lập là đối tượng kiểm tra kém, và kết quả bạn thấy có thể thuộc về giao diện cũ.
Quy trình của bạn có thể rời khỏi ứng dụng
Một ứng dụng có thể chuyển sang trình duyệt để đăng nhập, sang trình xem tài liệu hoặc sang đích chia sẻ. Dưới cơ sở chỉ-đưa-vào, những trợ thủ đó nằm ngoài đường hầm, nên quy trình có thể hỏng giữa chừng dù ứng dụng đầu tiên đã được cấu hình đúng. Chỉ đưa trợ thủ vào khi quy trình thực sự cần, và thêm nó một cách chủ động thay vì phát hiện ra trong lúc trình diễn.
Lựa chọn theo ứng dụng cũng không thay thế chính sách tuyến của chính kết nối. Hồ sơ vẫn phải mang các tiền tố đích và họ địa chỉ mà ứng dụng dùng, và cổng vẫn phải cho phép dịch vụ. Một ứng dụng được liệt kê đúng nhưng đích không tới được trông giống hệt một danh sách cấu hình sai.
Kiểm tra cả hai phía, rồi ghi lại chính sách
Kiểm tra một yêu cầu mới trong ứng dụng được đưa vào và một yêu cầu trong ứng dụng cần ở ngoài. So sánh địa chỉ ra và quyền truy cập một tài nguyên riêng, rồi lặp lại sau khi kết nối lại. Nếu tổ chức của bạn dùng chính sách của Android chặn kết nối khi không có VPN, ứng dụng bị loại trừ có thể bị chặn hoàn toàn thay vì đi trực tiếp; đó là chính sách đang hoạt động, không phải lỗi cần lách.
Ghi lại chế độ, tên gói kèm hồ sơ, ứng dụng nào nên đi vòng, đường hầm mang những họ địa chỉ nào và điều gì phải xảy ra khi đường hầm ngừng hoạt động. Nếu ứng dụng khách không thể diễn đạt quy trình một cách rõ ràng, hãy chọn một tập ứng dụng được phê duyệt rộng hơn hoặc chính sách hồ sơ được quản lý thay vì sửa quy tắc tường lửa ở cấp root, vốn không thuộc cơ chế theo ứng dụng mà Android hỗ trợ.