iPhone-VPN per domein: besluit waar die weiering plaasvind
NeverConnect keer dat die VPN begin; dit blokkeer nie 'n webwerf nie. Besluit of die weiering by die diensgrens of in 'n bestuurde beleid hoort.
Twee vereistes word as een sin neergeskryf en dan op heeltemal verskillende plekke geïmplementeer. Hierdie werf mag slegs deur die VPN bereik word is 'n stelling oor toegang, en die natuurlike tuiste daarvan is die netwerk voor die diens. Hierdie iPhone mag nooit daardie domein direk kontak nie is 'n stelling oor die toestel, en slegs 'n bestuurde kliëntbeleid kan dit uitdruk. Besluit watter een jy werklik het voordat jy 'n profielredigeerder oopmaak.
Twee vereistes wat identies klink
Neem die illustratiewe gasheer records.corp.example. In die toegangsgeval publiseer jy dit net na adresse agter die VPN, sodat 'n direkte poging vanaf 'n selfoon op sellulêre netwerk by die netwerk misluk, terwyl dieselfde versoek deur die tonnel slaag en steeds 'n werklike rekeningaanmelding vereis. In die toestelgeval kan die selfoon die publieke internet bereik, so die gasheer los op en antwoord vir enigiemand, en die enigste plek om die poging te stop is op die toestel. Die diens kan nie 'n reël afdwing oor 'n versoek wat nooit by hom uitkom nie.
Verkeerde lees van die vereiste wys as 'n spesifieke ontplooiing. Die rekord is steeds publiek, die operateur glo die VPN is verpligtend, en 'n oudit van 'n sellulêre poging wys die versoek het nooit die tonnel binnegegaan nie. Niks in die logboeke lyk stukkend nie, want niks is geblokkeer nie.
Lees die evalueringsaksies letterlik
Die op-aanvraag-masjinerie het twee duidelike vlakke van aksies, en om hulle te verwar veroorsaak die meeste verwarring hier. Die buitenste reëlaksie besluit wat met die tonnel gebeur wanneer die reël pas, en die verbindingsevalueringsaksie besluit wat met 'n gasheernaampas binne 'n evalueringsreël gebeur. Apple se Never Connect-verwysing beskryf net die tweede vlak.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect is die waarde wat die meeste verkeerd gelees word, want die naam suggereer 'n blok. Dit beheer die begin van die tonnel vir 'n gepaste gasheernaam, nie die selfoon se toestemming om 'n naam te bereik nie, so 'n Never Connect-inskrywing is nie 'n domeinblok nie. Om dit so in 'n ontwerpdokument te benoem, is hoe 'n ontplooiing goedgekeur word met 'n handhawingsgrens wat dit nie het nie.
Wanneer jy die diens besit, handhaaf by die grens
Toegang beperk beteken die naam net publiseer waar die VPN-pad dit kan bereik, en dan toets dat die beoogde pad werk en 'n ander pad nie. Dek elke gepubliseerde rekord, beide adresfamilies as jy hulle publiseer, en enige tussen- of alternatiewe naam wat die app gebruik. 'n Ou CNAME wat nog na 'n publieke lasbalanseerder wys, hou die direkte pad lewendig maak nie saak hoe netjies die hoofrekord is nie.
Dit beskerm die diens eerder as die toestel. Dit keer nie dat die selfoon 'n DNS-navraag stuur nie, en dit keer nie dat die app probeer nie. As daardie pogings aanvaarbaar is, is grensafdwinging die goedkoper en duursamer keuse, want dit geld vir elke kliënt eerder as net dié wat jy opgestel het. Dit oorleef ook 'n selfoon wat nooit ingeskryf is nie.
Wanneer die selfoon nie eers moet probeer nie, het jy 'n bestuurde beleid nodig
Om die poging te stop vereis 'n ondersteunde handhawingsbeleid wat die app of bestemmings dek voor verbinding, tydens 'n tonnelfout en na 'n netwerkverandering. Vra die VPN- of toestelbestuursverskaffer om daardie beleid te noem, te sê of dit organisasiebestuur vereis, en te beskryf wat anders dit raak. 'n Per-app-tonnel plus 'n op-aanvraag-reël is nie dieselfde ding nie, en 'n tuisskermkorting na 'n verbinding ook nie.
Toets die foutgeval deur die tonnel te deaktiveer en te kyk of die versoek uitgaan. As dit wel gebeur, is die grens wat jy gedokumenteer het nie die grens wat jy ontplooi het nie.
Besluit met drie vrae
Eerstens, beheer jy die diens of net die selfoon? Tweedens, mag die toestel wettig die publieke internet vir alles anders gebruik? Derdens, is die selfoon bestuur, en deur wie? Om die diens te besit plus 'n bestuurde vloot beteken enige laag is beskikbaar, terwyl om net die selfoon te besit die kliëntbeleid die enigste opsie maak en dit moet ondersteun word.
Beantwoord daardie drie voordat jy aan 'n profiel raak. Die opstelling hou dan op om 'n raaiskoot te wees oor wat 'n merkie genaamd Never beteken.