VPN per a l'iPhone per domini: decidiu on es produeix el refús
NeverConnect atura l'inici de la VPN; no bloqueja cap lloc web. Decidiu si el refús pertany a la frontera del servei o a una política gestionada.
Dos requisits s'escriuen com una sola frase i després s'implementen en llocs completament diferents. «Aquest lloc només ha de ser accessible per la VPN» és una afirmació sobre l'admissió, i el seu lloc natural és la xarxa davant del servei. «Aquest iPhone no ha de contactar mai directament amb aquest domini» és una afirmació sobre el dispositiu, i només una política de client gestionada pot expressar-la. Decidiu quin dels dos teniu realment abans d'obrir un editor de perfils.
Dos requisits que sonen idèntics
Preneu l'amfitrió il·lustratiu records.corp.example. En el cas d'admissió el publiqueu només a adreces darrere de la VPN, de manera que un intent directe des d'un telèfon amb xarxa mòbil falla a la xarxa, mentre que la mateixa sol·licitud a través del túnel té èxit i encara exigeix un inici de sessió real al compte. En el cas del dispositiu, el telèfon pot arribar a internet públic, així que l'amfitrió es resol i respon a tothom, i l'únic lloc per aturar l'intent és el dispositiu. El servei no pot aplicar cap regla sobre una sol·licitud que mai no li arriba.
La mala lectura del requisit es manifesta com una implementació concreta. El registre continua sent públic, l'operador creu que la VPN és obligatòria, i una auditoria d'un intent mòbil mostra que la sol·licitud no va entrar mai al túnel. Res dels registres no sembla trencat, perquè no s'ha bloquejat res.
Llegiu les accions d'avaluació literalment
La maquinària sota demanda té dues capes diferents d'accions, i confondre-les produeix la major part de la confusió aquí. L'acció de regla externa decideix què passa amb el túnel quan la regla coincideix, i l'acció d'avaluació de connexió decideix què passa amb una coincidència de nom d'amfitrió dins d'una regla d'avaluació. La referència Never Connect d'Apple només descriu la segona capa.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect és el valor que es llegeix malament més sovint, perquè el nom suggereix un bloqueig. Governa l'inici del túnel per a un nom d'amfitrió coincident, no el permís del telèfon per arribar a un nom, així que una entrada Never Connect no és un bloqueig de domini. Etiquetar-la així en un document de disseny és com s'aprova una implementació amb una frontera d'aplicació que no té.
Quan el servei és vostre, apliqueu-ho a la frontera
Restringir l'admissió vol dir publicar el nom només on el camí de la VPN hi pot arribar, i després provar que el camí previst funciona i un altre camí no. Cobriu cada registre publicat, les dues famílies d'adreces si les publiqueu, i qualsevol nom intermedi o alternatiu que faci servir l'aplicació. Un CNAME antic que encara apunta a un balancejador de càrrega públic manté viu el camí directe per molt endreçat que sigui el registre principal.
Això protegeix el servei, no el dispositiu. No atura el telèfon d'enviar una consulta DNS ni atura l'aplicació d'intentar-ho. Si aquests intents són acceptables, l'aplicació a la frontera és l'opció més barata i duradora, perquè val per a tots els clients i no només per als que heu configurat. També sobreviu a un telèfon que mai no es va inscriure.
Quan el telèfon no ha de ni intentar-ho, cal una política gestionada
Aturar l'intent requereix una política d'aplicació compatible que cobreixi l'aplicació o les destinacions abans de la connexió, durant un error del túnel i després d'un canvi de xarxa. Demaneu al proveïdor de VPN o de gestió de dispositius que anomeni aquesta política, digui si requereix gestió organitzativa i descrigui què més afecta. Un túnel per aplicació més una regla sota demanda no és el mateix, i tampoc no ho és una drecera de la pantalla d'inici a una connexió.
Proveu el cas d'error desactivant el túnel i observant si la sol·licitud surt. Si surt, la frontera que heu documentat no és la frontera que heu implementat.
Decidiu amb tres preguntes
Primer, controleu el servei o només el telèfon? Segon, pot el dispositiu utilitzar legítimament internet públic per a tota la resta? Tercer, el telèfon està gestionat i per qui? Posseir el servei més una flota gestionada significa que qualsevol de les dues capes és disponible, mentre que posseir només el telèfon fa que la política de client sigui l'única opció i ha d'estar suportada.
Responeu aquestes tres abans de tocar cap perfil. Llavors la configuració deixa de ser una conjectura sobre què significa una casella anomenada Never.