تطبيق iPhone لا يجد الأجهزة المحلية أثناء تشغيل VPN
بوابتان تحددان ما إذا كان تطبيق iPhone سيصل إلى طابعة أو تلفاز عبر VPN: إذن الشبكة المحلية ومسارات النفق نفسه. تحقق منهما بالترتيب.
يعرض تطبيق الطابعة لديك قائمة فارغة، ويبلغ تطبيق الكاميرا بأنه لم يتم العثور على أي جهاز، ويدور زر البث في تطبيق فيديو حتى يستسلم. تظهر أيقونة VPN في شريط الحالة، والهاتف يلتقط إشارة كاملة، وSafari يحمّل الصفحات بلا مشكلة، فلا شيء في الاتصال يبدو معطلاً. ثم تفتح إعدادات التطبيق نفسه ولا تجد شيئًا لتبديله.
اصطدمت بهذا الجدار بالضبط مع طابعة ملصقات على شبكة منزلية: لم يُمنح التطبيق أبدًا حق الوصول إلى الشبكة المحلية، وكان الملف الشخصي الذي أختبره نفقًا كاملًا يبتلع كل حزمة موجهة إلى 192.168.1.0/24. كان بوابتان مستقلتان مغلقتين، وفتح إحداهما لم يكن ليزيل العَرَض.
بوابتان بين تطبيق واحد وطابعة واحدة
البوابة الأولى قرار خصوصية ينتمي إلى نظام التشغيل وليس إلى التطبيق. يقرر iOS ما إذا كان يحق لتطبيق إرسال حركة مرور إلى عناوين في الشبكة المحلية، ويسأل المستخدم في أول محاولة للتطبيق. البوابة الثانية هي جدول التوجيه. الحزمة الموجهة إلى 192.168.1.50 إما تغادر الهاتف عبر Wi-Fi نحو الطابعة، أو تدخل النفق، وهذا الاختيار مكتوب في ملف تعريف VPN.
تفشل البوابتان بأشكال مختلفة، وهذا بالضبط ما يجعل التشخيص ممكنًا. الإذن المرفوض يقتل استدعاء المقبس الخاص بالتطبيق، فلا يبقى لديه ما يبلّغ به ويسقط إلى حالة فارغة عامة. تبدو مشكلة التوجيه كانتهاء مهلة، لأن الحزم غادرت الهاتف وماتت في مكان ما على الجانب الآخر. الشاشة الفارغة نفسها، وإصلاح مختلف.
اقرأ حالة الإذن قبل لمس VPN
افتح الإعدادات، ثم الخصوصية والأمان، ثم الشبكة المحلية. يظهر كل تطبيق طلب الوصول هناك بمفتاح تبديل. لقد نقلت Apple أجزاء من هذه الشاشة وأعادت تسميتها بين iOS 14 وiOS 18، فإن لم يكن البند حيث تتوقع، اكتب الشبكة المحلية في حقل البحث بالإعدادات بدلًا من تفتيش الشجرة.
ما يوقع الناس هو الطلب الذي يظهر مرة واحدة. يسأل iOS عندما يلمس التطبيق الشبكة المحلية لأول مرة، وعندها فقط. اضغط عدم السماح فلا يعود الطلب عند التشغيل التالي؛ والمفتاح هو الطريق الوحيد للعودة، ويبدأ مطفأً. إعادة تثبيت التطبيق تصفّر القرار، ولهذا تدّعي بعض سلاسل استكشاف الأخطاء أن إعادة التثبيت أصلحت الاكتشاف. فعلت ذلك، بمحو الرفض.
على iPhone تحت المراقبة أو الإدارة يكون المفتاح رماديًا أحيانًا. يمكن لحمولة تفضيلات الخصوصية التي يدفعها MDM أن تضبط مسبقًا أو تقفل الوصول إلى الشبكة المحلية، والمفتاح المقفل المطفأ يعني أن الإصلاح تغيير سياسة وليس تغيير هاتف. توثّق Apple الطلب والمفتاح لكل تطبيق هنا: support.apple.com/en-us/102229.
تحقق مما يوجهه النفق فعليًا
النفق الكامل يأخذ 0.0.0.0/0 ومعه كل نطاق خاص. تسافر حزم 10.x و172.16.0.0/12 و192.168.x.x إلى الخادم، الذي عادةً ما يهملها أو يترجمها إلى شبكته الفرعية، فتبقى الطابعة غير قابلة للوصول حتى بعد منح الإذن. النفق المنقسم يفعل العكس، لكن فقط للنطاقات التي يسردها الملف الشخصي.
ملفات تعريف IKEv2 المبنية بـ Apple Configurator أو الموزعة كملف .mobileconfig تعبّر عن ذلك كإعداد إرسال كل حركة المرور، مع قائمة صريحة بالشبكات المحلية المراد استثناؤها في الوضع المنقسم. وتعبّر تطبيقات العميل المبنية على NEPacketTunnelProvider عن القرار نفسه عبر includedRoutes. لا يُرى أي منهما من شريط الحالة، وكلاهما يتجاوز ما يتوقع التطبيق رؤيته.
هذا هو الاختبار الذي أستخدمه. مع اتصال VPN، افتح صفحة إدارة الراوتر في Safari عبر عنوان LAN الخاص به. إذا حُمّلت المواقع العامة بينما تنتهي مهلة تلك الصفحة، فنطاقك الخاص داخل النفق. وإذا حُمّلت الصفحة، فإن حركة المرور المحلية ما زالت تخرج عبر Wi-Fi والعائق في مكان آخر.
اربط العَرَض بالبوابة
قد يختلف تطبيقان على الهاتف نفسه، لأن الإذن يُمنح لكل تطبيق بينما تُمنح المسارات لكل ملف تعريف. قارن ما يفشل قبل تغيير أي شيء: النمط عادةً يسمّي البوابة بنفسه.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
سطر mDNS يستحق ملاحظة. حركة الاكتشاف لـ Bonjour ومعظم بروتوكولات البث تُرسل كبث متعدد إلى 224.0.0.251 وff02::fb بنطاق ارتباط محلي، والنفق الموجَّه لا يحملها. لهذا يمكن للجهاز أن يجيب على اتصال مباشر دون أن يظهر في قائمة أبدًا.
اختبر العملية لا الأيقونة
بعد تبديل مفتاح الشبكة المحلية، أجبِر التطبيق على الإغلاق من مبدّل التطبيقات ثم افتحه من جديد. قد تحتفظ عملية قيد التشغيل بالحالة المرفوضة من قبل التغيير، والتطبيق الذي يستمر في إرجاع قائمة فارغة يبدو متطابقًا سواء نجح الإذن أم لا. ثم نفّذ إجراءً واحدًا ملموسًا، مثل طباعة صفحة اختبار أو تشغيل فيديو، بدلًا من انتظار امتلاء قائمة الأجهزة.
أبقِ ملف تعريف VPN ثابتًا طوال المقارنة. إذا بدأ الاكتشاف يعمل فقط بعد قطع الاتصال، فقد عرفت أن النفق هو المذنب وليس الإذن. غيّر متغيرًا واحدًا في كل محاولة، وإلا فلن تخبرك الجولة التالية بشيء.
أصلحه بهذا الترتيب
التسلسل أدناه هو ما أتبعه الآن، لأنه لا يترك هاتفًا في حالة نصف معدّلة يكون فيها الاختبار التالي غير مقروء.
- تأكد من إدراج التطبيق ضمن الخصوصية والأمان، الشبكة المحلية، وأن مفتاحه مفعّل.
- أجبِر الإغلاق، وأعد فتح التطبيق، ثم أعد محاولة العملية الحقيقية مرة واحدة.
- افتح صفحة الراوتر عبر عنوان LAN أثناء الاتصال لإثبات ما إذا كان النطاق الخاص يمر في النفق.
- إن كان يمر، فحرّر ملف التعريف لاستثناء الشبكات المحلية، أو اطلب من مالك الملف القيام بذلك.
- إذا كان المفتاح رماديًا، فتعامل مع الجهاز كجهاز مُدار وأحِل الطلب إلى المسؤول.
عادةً ينطبق واحد فقط. إن لم يغيّر أي منها النتيجة، فالاشتباه الباقي هو الشبكة نفسها، مثل عزل نقطة الوصول أو قائمة عملاء مسموح بهم مرتبطة بعناوين Wi-Fi، وجدول المطابقة أعلاه يشير إلى أيها.