VPN для iPhone па даменах: вызначце, дзе адбываецца адмова
NeverConnect спыняе запуск VPN; ён не блакуе вэб-сайт. Вызначце, ці належыць адмова да мяжы сэрвісу або да кіраванай палітыкі.
Дзве патрабаванні запісваюцца як адно сказ, а потым рэалізуюцца ў цалкам розных месцах. «Гэты сайт павінен быць даступны толькі праз VPN» — гэта сцверджанне пра допуск, і яго натуральнае месца — сетка перад сэрвісам. «Гэты iPhone ніколі не павінен звяртацца да таго дамена напрамую» — гэта сцверджанне пра прыладу, і толькі кіраваная палітыка кліента можа яго выказаць. Вызначце, якое з іх у вас насамрэч, перш чым адкрываць рэдактар профілю.
Дзве патрабаванні, якія гучаць аднолькава
Вазьміце ілюстрацыйны хост records.corp.example. У выпадку допуску вы публікуеце яго толькі на адрасы за VPN, таму прамая спроба з тэлефона ў сотавай сетцы правальваецца на сетцы, а той жа запыт праз тунэль паспяхова праходзіць і ўсё роўна патрабуе рэальнага ўваходу ў акаўнт. У выпадку прылады тэлефон можа выходзіць у публічны інтэрнэт, таму хост разрозніваецца і адказвае ўсім, і адзінае месца, дзе можна спыніць спробу, — сама прылада. Сэрвіс не можа прымяніць правіла да запыту, які да яго ніколі не даходзіць.
Няправільнае прачытанне патрабавання выяўляецца ў канкрэтным разгортванні. Запіс па-ранейшаму публічны, аператар лічыць, што VPN абавязковы, а аўдыт сотавай спробы паказвае, што запыт так і не ўвайшоў у тунэль. У журналах нішто не выглядае зламаным, бо нішто не было заблакавана.
Чытайце дзеянні ацэнкі літаральна
Механізм працы па запыце мае два асобныя ўзроўні дзеянняў, і іх змешванне стварае большасць блытаніны тут. Дзеянне знешняга правіла вырашае, што адбудзецца з тунэлем, калі правіла супадае, а дзеянне ацэнкі злучэння вырашае, што адбудзецца з супадзеннем імені хоста ўнутры правіла ацэнкі. Даведнік Never Connect ад Apple апісвае толькі другі ўзровень.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect — гэта значэнне, якое часцей за ўсё чытаюць няправільна, бо назва наводзіць на думку пра блакаванне. Яно кіруе запускам тунэля для супаднай імя хоста, а не дазволам тэлефона дасягаць імя, таму запіс Never Connect не з'яўляецца блокам дамена. Назваць яго так у праектным дакуменце — гэта спосаб зацвердзіць разгортванне з мяжой прымянення, якой у яго няма.
Калі сэрвіс ваш, прымяняйце на мяжы
Абмежаванне допуску азначае публікацыю імя толькі там, дзе шлях праз VPN можа да яго дабрацца, а затым праверку, што патрэбны шлях працуе, а іншы шлях — не. Ахапіце кожны апублікаваны запіс, абедзве сямействы адрасоў, калі вы іх публікуеце, і любое прамежкавае або альтэрнатыўнае імя, якое выкарыстоўвае праграма. Стары CNAME, які ўсё яшчэ паказвае на публічны балансіроўшчык нагрузкі, захоўвае прамы шлях жывым, якім бы акуратным ні быў асноўны запіс.
Гэта абараняе сэрвіс, а не прыладу. Гэта не спыняе тэлефон ад адпраўкі DNS-запыту і не спыняе праграму ад спробы. Калі такія спробы дапушчальныя, прымяненне на мяжы — больш танны і трывалы выбар, бо ён дзейнічае для кожнага кліента, а не толькі для тых, якіх вы наладзілі. Ён таксама перажывае тэлефон, які ніколі не быў зарэгістраваны.
Калі тэлефон не павінен нават спрабаваць, патрэбна кіраваная палітыка
Спыненне спробы патрабуе падтрыманай палітыкі прымянення, якая ахоплівае праграму або пункты прызначэння да злучэння, падчас збою тунэля і пасля змены сеткі. Папрасіце пастаўшчыка VPN або кіравання прыладамі назваць гэтую палітыку, сказаць, ці патрабуе яна арганізацыйнага кіравання, і апісаць, на што яшчэ яна ўплывае. Тунэль для асобнай праграмы плюс правіла па запыце — гэта не тое ж самае, як і цэк на галоўным экране да злучэння.
Праверце выпадак збою, адключыўшы тунэль і назіраючы, ці выходзіць запыт. Калі выходзіць, мяжа, якую вы дакументавалі, — гэта не мяжа, якую вы разгарнулі.
Вырашайце трыма пытаннямі
Па-першае, вы кантралюеце сэрвіс ці толькі тэлефон? Па-другое, ці можа прылада законна выкарыстоўваць публічны інтэрнэт для ўсяго астатняга? Па-трэцяе, ці кіруецца тэлефон і кім? Валоданне сэрвісам плюс кіраваны парк прылад азначае, што даступны любы ўзровень, а валоданне толькі тэлефонам робіць палітыку кліента адзіным варыянтам, і яна павінна падтрымлівацца.
Адказвайце на гэтыя тры пытанні, перш чым чапаць профіль. Тады канфігурацыя перастае быць здагадкай пра тое, што значыць сцяжок з назвай Never.