iPhone VPN domen üzrə: imtinanın harada baş verdiyini müəyyənləşdirin
NeverConnect VPN-in başlamasını dayandırır; veb saytı bloklamır. İmtinanın xidmət sərhədində, yoxsa idarə olunan siyasətdə olduğunu müəyyənləşdirin.
İki tələb bir cümlə kimi yazılır, sonra tamamilə fərqli yerlərdə həyata keçirilir. «Bu sayt yalnız VPN vasitəsilə əlçatan olmalıdır» qəbulla bağlı ifadədir və təbii yeri xidmətin qarşısındakı şəbəkədir. «Bu iPhone həmin domenlə heç vaxt birbaşa əlaqə saxlamamalıdır» cihazla bağlı ifadədir və onu yalnız idarə olunan müştəri siyasəti ifadə edə bilər. Profil redaktorunu açmadan əvvəl hansının sizdə olduğunu müəyyənləşdirin.
Eyni səslənən iki tələb
Nümunə host records.corp.example götürün. Qəbul halında onu yalnız VPN-in arxasındakı ünvanlara dərc edirsiniz, buna görə mobil şəbəkədəki telefondan birbaşa cəhd şəbəkədə uğursuz olur, tuneldən keçən eyni sorğu isə uğur qazanır və yenə də real hesab girişi tələb edir. Cihaz halında telefon ümumi internetə çıxa bilər, buna görə host hər kəs üçün həll olunur və cavab verir, cəhdi dayandırmağın yeganə yeri cihazın özüdür. Xidmət ona heç vaxt çatmayan sorğu barədə qayda tətbiq edə bilməz.
Tələbin səhv oxunması konkret yerləşdirmədə üzə çıxır. Qeyd hələ də ictimaidir, operator VPN-in məcburi olduğuna inanır və mobil cəhdin auditi sorğunun tunelə heç vaxt daxil olmadığını göstərir. Jurnallarda heç nə pozulmuş görünmür, çünki heç nə bloklanmayıb.
Qiymətləndirmə hərəkətlərini hərfi oxuyun
Tələb üzrə işləyən mexanizmin iki fərqli hərəkət qatı var və onları qarışdırmaq buradakı qarışıqlığın çoxunu yaradır. Xarici qayda hərəkəti qayda uyğun gəldikdə tunelə nə olacağını, əlaqə qiymətləndirməsi hərəkəti isə qiymətləndirmə qaydası daxilində host adı uyğunluğuna nə olacağını müəyyən edir. Apple-ın Never Connect istinadı yalnız ikinci qatı təsvir edir.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect ən çox səhv oxunan dəyərdir, çünki ad bloklamağı xatırladır. O, uyğun host adı üçün tunelin başladılmasını idarə edir, telefonun bir ada çıxış icazəsini yox, buna görə Never Connect qeydi domen bloku deyil. Dizayn sənədində onu belə adlandırmaq, yerləşdirmənin malik olmadığı icra sərhədi ilə təsdiqlənməsinin yoludur.
Xidmət sizindirsə, sərhəddə icra edin
Qəbulu məhdudlaşdırmaq adı yalnız VPN yolunun çata bildiyi yerdə dərc etmək, sonra nəzərdə tutulan yolun işlədiyini, başqa yolun işləmədiyini yoxlamaq deməkdir. Dərc olunan hər qeydi, hər iki ünvan ailəsini dərc edirsinizsə onları, və tətbiqin istifadə etdiyi hər aralıq və ya alternativ adı əhatə edin. İctimai yük balanslaşdırıcısına hələ də işarə edən köhnə CNAME əsas qeyd nə qədər səliqəli olsa da birbaşa yolu canlı saxlayır.
Bu, cihazı deyil, xidməti qoruyur. Telefonun DNS sorğusu göndərməsini dayandırmır və tətbiqin cəhd etməsini dayandırmır. Bu cəhdlər məqbuldursa, sərhəddə icra daha ucuz və daha davamlı seçimdir, çünki yalnız konfiqurasiya etdiyiniz müştərilər üçün deyil, hər müştəri üçün keçərlidir. Heç vaxt qeydiyyata alınmamış telefon üçün də işləyir.
Telefon heç cəhd etməməlidirsə, idarə olunan siyasət lazımdır
Cəhdi dayandırmaq üçün tətbiqi və ya təyinatları əlaqədən əvvəl, tunel nasazlığı zamanı və şəbəkə dəyişikliyindən sonra əhatə edən dəstəklənən icra siyasəti lazımdır. VPN və ya cihaz idarəetmə provayderindən həmin siyasətin adını çəkməyi, təşkilati idarəetmə tələb edib-etmədiyini söyləməyi və başqa nəyə təsir etdiyini təsvir etməyi xahiş edin. Tətbiq üzrə tunel və tələb üzrə qayda eyni şey deyil, ana ekran qısayolu da əlaqə deyil.
Nasazlıq halını tuneli söndürərək və sorğunun çıxıb-çıxmadığını izləyərək yoxlayın. Əgər çıxırsa, sənədləşdirdiyiniz sərhəd yerləşdirdiyiniz sərhəd deyil.
Üç sualla qərar verin
Birincisi, xidmətə yoxsa yalnız telefona nəzarət edirsiniz? İkincisi, cihaz qalan hər şey üçün ümumi internetdən qanuni istifadə edə bilərmi? Üçüncüsü, telefon idarə olunurmu və kim tərəfindən? Xidmətə sahib olmaq və idarə olunan cihaz parkı hər iki qatın mövcud olması deməkdir, yalnız telefona sahib olmaq isə müştəri siyasətini yeganə seçim edir və o, dəstəklənməlidir.
Profilə toxunmazdan əvvəl bu üçünə cavab verin. Onda konfiqurasiya Never adlı onay qutusunun nə demək olduğuna dair təxmin olmaqdan çıxır.