VPN za iPhone po domenama: odlučite gdje se odbijanje događa
NeverConnect sprječava pokretanje VPN-a; ne blokira web lokaciju. Odlučite pripada li odbijanje granici usluge ili upravljanoj politici.
Dva zahtjeva zapisuju se kao jedna rečenica, a zatim se provode na potpuno različitim mjestima. „Ova stranica mora biti dostupna samo preko VPN-a“ izjava je o dopuštanju, a njeno prirodno mjesto je mreža ispred usluge. „Ovaj iPhone nikada ne smije izravno kontaktirati tu domenu“ izjava je o uređaju i samo je upravljana klijentska politika može izraziti. Odlučite koji od njih zapravo imate prije nego otvorite uređivač profila.
Dva zahtjeva koja zvuče isto
Uzmite ilustrativni host records.corp.example. U slučaju dopuštanja objavljujete ga samo na adrese iza VPN-a, pa izravni pokušaj s telefona na mobilnoj mreži pada na mreži, dok isti zahtjev kroz tunel uspijeva i još uvijek traži pravu prijavu na račun. U slučaju uređaja telefon može dosegnuti javni internet, pa se host razrješava i odgovara svima, a jedino mjesto za zaustavljanje pokušaja je uređaj. Usluga ne može provoditi pravilo za zahtjev koji do nje nikada ne stigne.
Pogrešno čitanje zahtjeva očituje se kao konkretna implementacija. Zapis je i dalje javan, operater vjeruje da je VPN obavezan, a revizija mobilnog pokušaja pokazuje da zahtjev nikada nije ušao u tunel. Ništa na zapisima ne izgleda pokvareno jer ništa nije blokirano.
Čitajte akcije evaluacije doslovno
Mehanizam na zahtjev ima dva različita sloja akcija, a njihovo miješanje stvara većinu zabune ovdje. Akcija vanjskog pravila odlučuje što se događa s tunelom kada pravilo odgovara, a akcija evaluacije veze odlučuje što se događa s podudaranjem imena hosta unutar pravila evaluacije. Appleova Never Connect referenca opisuje samo drugi sloj.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect je vrijednost koja se najčešće pogrešno čita jer ime sugerira blokadu. Ona upravlja pokretanjem tunela za podudarno ime hosta, a ne dopuštenjem telefona da dosegne ime, pa Never Connect unos nije blokada domene. Nazvati ga tako u projektnom dokumentu način je da se implementacija odobri s granicom provedbe koju nema.
Kada posjedujete uslugu, provodite je na granici
Ograničavanje dopuštanja znači objaviti ime samo tamo gdje VPN put može do njega doći, a zatim provjeriti da predviđeni put radi, a drugi put ne. Pokrijte svaki objavljeni zapis, obje porodice adresa ako ih objavljujete, i svako posredno ili alternativno ime koje aplikacija koristi. Stari CNAME koji još pokazuje na javni balanser opterećenja održava izravni put živim koliko god glavni zapis bio uredan.
Ovo štiti uslugu, a ne uređaj. Ne sprječava telefon da pošalje DNS upit i ne sprječava aplikaciju da pokuša. Ako su ti pokušaji prihvatljivi, provedba na granici je jeftiniji i trajniji izbor jer vrijedi za svakog klijenta, a ne samo za one koje ste konfigurirali. Također preživljava telefon koji nikada nije bio upisan.
Kada telefon ne smije ni pokušati, potrebna je upravljana politika
Zaustavljanje pokušaja zahtijeva podržanu politiku provedbe koja pokriva aplikaciju ili odredišta prije veze, tijekom kvara tunela i nakon promjene mreže. Zamolite pružatelja VPN-a ili upravljanja uređajima da imenuje tu politiku, kaže zahtijeva li organizacijsko upravljanje i opiše što još utječe. Tunel po aplikaciji plus pravilo na zahtjev nije ista stvar, a ni prečac s početnog zaslona do veze.
Testirajte slučaj kvara isključivanjem tunela i promatranjem izlazi li zahtjev. Ako izlazi, granica koju ste dokumentirali nije granica koju ste implementirali.
Odlučite s tri pitanja
Prvo, kontrolirate li uslugu ili samo telefon? Drugo, smije li uređaj legitimno koristiti javni internet za sve ostalo? Treće, je li telefon upravljan i od koga? Posjedovanje usluge plus upravljani park znači da je bilo koji sloj dostupan, dok posjedovanje samo telefona čini klijentsku politiku jedinom opcijom i ona mora biti podržana.
Odgovorite na ta tri prije nego dotaknete profil. Konfiguracija tada prestaje biti nagađanje o tome što znači potvrdni okvir nazvan Never.