VPN за iPhone по домейни: решете къде става отказът
NeverConnect спира стартирането на VPN; той не блокира уебсайт. Решете дали отказът принадлежи на границата на услугата или на управлявана политика.
Две изисквания се записват като едно изречение и после се реализират на напълно различни места. „Този сайт трябва да е достъпен само през VPN“ е твърдение за допускането и естественото му място е мрежата пред услугата. „Този iPhone никога не трябва да се свързва директно с онзи домейн“ е твърдение за устройството и само управлявана клиентска политика може да го изрази. Решете кое от двете всъщност имате, преди да отворите редактор на профил.
Две изисквания, които звучат еднакво
Вземете примерния хост records.corp.example. В случая с допускането го публикувате само към адреси зад VPN, така че директен опит от телефон в мобилна мрежа се проваля в мрежата, докато същата заявка през тунела успява и все още изисква реален вход в акаунт. В случая с устройството телефонът може да достига обществения интернет, така че хостът се резолвва и отговаря на всички, а единственото място за спиране на опита е устройството. Услугата не може да наложи правило за заявка, която никога не стига до нея.
Погрешното разчитане на изискването се проявява като конкретно внедряване. Записът остава публичен, операторът вярва, че VPN е задължителен, а одит на опит от мобилна мрежа показва, че заявката никога не е влязла в тунела. В журналите нищо не изглежда счупено, защото нищо не е блокирано.
Четете действията за оценка буквално
Механизмът за работа при поискване има две отделни нива действия и смесването им създава повечето объркване тук. Действието на външното правило решава какво става с тунела, когато правилото съвпадне, а действието за оценка на връзката решава какво става със съвпадение на име на хост в правило за оценка. Справочникът Never Connect на Apple описва само второто ниво.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect е стойността, която най-често се разчита погрешно, защото името подсказва блокиране. Тя управлява стартирането на тунела за съвпадащо име на хост, а не разрешението на телефона да достигне име, така че запис Never Connect не е блокиране на домейн. Да го наречете така в проектен документ е начинът внедряване да бъде одобрено с граница на налагане, която то няма.
Когато услугата е ваша, налагайте на границата
Ограничаването на допускането означава да публикувате името само там, където пътят през VPN може да го достигне, и после да проверите, че предвиденият път работи, а друг път — не. Покрийте всеки публикуван запис, двете семейства адреси, ако ги публикувате, и всяко междинно или алтернативно име, което приложението използва. Стар CNAME, който още сочи към публичен балансьор на натоварване, поддържа директния път жив, колкото и подреден да е основният запис.
Това защитава услугата, а не устройството. Не спира телефона да изпрати DNS заявка и не спира приложението да опита. Ако тези опити са приемливи, налагането на границата е по-евтиният и по-трайният избор, защото важи за всеки клиент, а не само за тези, които сте конфигурирали. То също оцелява при телефон, който никога не е бил записан.
Когато телефонът не трябва дори да опитва, ви трябва управлявана политика
Спирането на опита изисква поддържана политика за налагане, която покрива приложението или дестинациите преди свързване, по време на отказ на тунела и след промяна на мрежата. Помолете доставчика на VPN или на управление на устройства да назове тази политика, да каже дали изисква организационно управление и да опише какво още засяга. Тунел за отделно приложение плюс правило при поискване не е същото нещо, както и пряк път на началния екран към връзка.
Тествайте случая на отказ, като изключите тунела и наблюдавате дали заявката излиза. Ако излиза, границата, която сте документирали, не е границата, която сте внедрили.
Решете с три въпроса
Първо, контролирате ли услугата или само телефона? Второ, може ли устройството законно да използва обществения интернет за всичко останало? Трето, управляван ли е телефонът и от кого? Притежаването на услугата плюс управляван парк означава, че и двете нива са налични, докато притежаването само на телефона прави клиентската политика единствената опция и тя трябва да се поддържа.
Отговорете на тези три, преди да пипате профил. Тогава конфигурацията спира да бъде догадка какво означава отметка с име Never.