VPN за отделни приложения в управлявани приложения за iPhone: какво се маршрутизира и какво не
Тунелът за отделно приложение следва управляваното приложение, а не телефона. Проверете свързването на профила, управляваното копие, правилата при поискване и потоците, които излизат от приложението.
VPN за отделно приложение в iPhone не е превключвател за целия телефон. Това е връзка между едно управлявано приложение и един VPN профил, създадена при разгръщането на приложението, а трафикът на всичко останало запазва маршрута, който е имал преди. Затова същият телефон се държи непоследователно: работното приложение отваря частна страница, докато Safari не може да достигне същия хост, или тунелът изобщо не се вдига и приложението съобщава за таймаут, който изглежда като лоши идентификационни данни. Проверките вървят от най-широката причина надолу, така че спрете на първата, която се провали.
Проверете първо профила и записа на приложението
Връзката живее в два обекта, не в един. VPN профилът дефинира тунела: тип, сървър, удостоверяване, DNS и идентификатора на пакета на доставчика, когато се използва персонализиран клиент. Записът на приложението сочи към този профил и повечето конзоли за управление го предлагат като опция за отделно приложение в конфигурацията на приложението, с име близо до Per-App VPN. Профил, към който не сочи нито едно приложение, не маршрутизира нищо за отделни приложения; той се държи като обикновен тунел, който някой трябва да стартира ръчно.
Прочетете двата обекта, преди да пипнете телефона. Уверете се, че конфигурацията на приложението сочи към профила, който тествате, а не към по-старо копие, защото дублирани профили с почти еднакви имена са чести след миграция и приложението охотно сочи към изтегления. След това потвърдете, че конфигурацията е достигнала до устройството: Настройки, Основни, VPN и управление на устройството трябва да я показват като инсталиран профил. Списъкът с VPN там не е тестът. Услугата за отделно приложение обикновено няма ръчен превключвател, така че правилно разгърната конфигурация може никога да не се появи сред VPN мрежите, които могат да се стартират. Липсата се вижда в записа на приложението и в това дали тунелът се вдига при първата заявка на приложението.
Едно условие обяснява много тикети: този модел изисква приложението да дойде през управлението. Копие, инсталирано отстрани или купено лично, не получава връзката, дори когато идентификаторът на пакета му съвпада. Ръководството на Apple за разгърщане на VPN описва модела на профила зад това (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).
Потвърдете, че инсталираното приложение е управляваното копие
Връзката следва инсталираното, управлявано приложение. Ако някой го е преинсталирал от App Store с личен Apple ID, заменил го с преподписана корпоративна сборка или устройството е регистрирано наново и приложението се е върнало по друг канал, тунелът може да остане долу, докато самото приложение изглежда напълно нормално.
Тествайте чрез сравнение, а не с едно наблюдение. В инвентара за управление приложението трябва да се показва като управлявано за това устройство с VPN съпоставяне в записа си. На телефона тунелът трябва да се вдига при стартиране на приложението и излизане на първата му заявка, а не само когато някой стартира отделна ръчна конфигурация в Настройки. Ако стартирането на приложението не променя нищо, а тази ръчна конфигурация променя, приложението изобщо не е вързано към тунел за отделно приложение.
Актуализациите имат значение: тази, изпратена през управлението, запазва съпоставянето, докато преинсталиране, започнато от потребителя, може да го загуби. Когато оплакването датира от актуализация, проверете записа на приложението преди мрежата.
Проверете какво е позволено да поеме тунелът
Тунелът за отделно приложение се избира по приложение-източник, така че маршрутът по подразбиране на телефона все още принадлежи на Wi-Fi или мобилната мрежа. OverridePrimary е ключът, който променя това. Когато профил го зададе, тунелът се държи като пълен тунел и всяко приложение го наследява, така че всичко през VPN става въпрос на профил, а не повреда на приложението.
Правилата при поискване решават устойчивостта. OnDemandEnabled плюс неговия набор правила е това, което кара тунела да се върне, когато приложението изпрати трафик, да оцелее при преход от Wi-Fi към мобилна мрежа или да падне, щом приложението мине фонов режим. Разгърщане, което се свързва и след това тихо умира, обикновено има правило, което съвпада само с пробна заявка, която никога не се задейства, докато приложението бездейства.
След това прочетете честно страната на маршрутите. Ако профил на доставчик или вендор дава списък за включване, тунел, който носи само 10.20.0.0/16, няма да носи услуга в 10.30.0.0/16; това е списъкът, който си върши работата, а не повреда на отделното приложение. Вграденият iOS профил няма списък за включване. Без такъв разделянето следва настройките по подразбиране на доставчика и IncludeAllNetworks, а не скрит списък.
Тествайте приложението, след това тествайте какво излиза от него
Тествайте с име, не само с адрес. Резолването на вътрешен хост вътре в управляваното приложение доказва, че DNS също е минал през тунела, защото профилът решава кой резолвер отговаря и кои домейни за търсене се прилагат. Маршрутизацията може да е безупречна, докато търсенето по име се проваля, и двата симптома сочат към различни настройки.
След това тествайте границата от двете страни. Лично приложение или Safari трябва да достигне обикновена публична страница и да съобщи адреса на оператора или дома, докато управляваното приложение достига частната услуга. Ако и двете съобщят един и същ публичен адрес, тунелът вече не е за отделно приложение, каквото и да твърди записът на приложението.
Потоците, които излизат от приложението, създават обърканите тикети. Връзка, която се отваря в Safari, документ, предаден през листа за споделяне, или SSO вход, който преминава към браузър, напуска процеса на приложението и тунела заедно с него. Вход, изобразен вътре в приложението, обикновено се приписва на приложението, така че вграденият вход може да успее там, където същият URL се проваля в Safari; проверете това, вместо да го предполагате. Когато доставчикът на идентичност е достъпен само през тунела, или задръжте входа в приложението, или добавете домейна на доставчика към Safari домейните на профила, за да се улавя съответният Safari трафик.
Съпоставете симптома със слоя
Формата на повредата ви казва коя проверка да повторите.
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
Зад средните редове стоят два детайла: тунел за отделно приложение може да е здрав и все пак да пропусне подмрежа, която никой списък на доставчик не включва, а управляван телефон може да държи повече от една VPN конфигурация, така че потвърдете към коя е вързано приложението, вместо да предполагате, че е тази, която четете.
Поправяйте в този ред: коригирайте записа на приложението да сочи към живия профил, преинсталирайте приложението през управлението, потвърдете, че тунелът се вдига при първата заявка от приложението, след това повторете тестовете за име и граница. Ако първата заявка изобщо не може да стартира тунел, спрете и проверете страната на доставчика, защото персонализиран клиент се нуждае от наличен Network Extension с идентификатор, съвпадащ с инсталираното приложение.
Върнете три факта вместо екранна снимка: към кой профил сочи записът на приложението, дали Настройки го показват като инсталиран профил и каква е била неуспешната заявка — име, адрес или предаване към браузър. Тези три отговора разделят грешка при разгърщане от грешка при маршрутизация и следващият човек може да действа, без да повтаря диагнозата.