Aplikace pro iPhone nenajde místní zařízení, když je VPN zapnutá
O tom, zda se aplikace v iPhonu přes VPN dostane k tiskárně nebo televizi, rozhodují dvě brány: oprávnění Místní síť a trasy samotného tunelu. Zkontrolujte je v pořadí.
Aplikace tiskárny ukazuje prázdný seznam, aplikace fotoaparátu hlásí, že zařízení nebylo nalezeno, a tlačítko přenosu ve videu se točí, dokud to nevzdá. Ikona VPN visí ve stavovém řádku, telefon má plný signál a Safari načítá stránky bez problémů, takže na připojení nic nezdravě nevypadá. Pak otevřete nastavení aplikace a nenajdete nic k přepnutí.
Narazil jsem přesně na tuhle zeď s etiketovou tiskárnou v domácí síti: aplikaci nikdy nikdo nepřidělil přístup k místní síti a profil, který jsem testoval, byl plný tunel, který pohltil každý paket adresovaný 192.168.1.0/24. Dvě nezávislé brány byly zavřené a otevření jedné by příznak neodstranilo.
Dvě brány mezi jednou aplikací a jednou tiskárnou
První brána je rozhodnutí o soukromí, které patří operačnímu systému, ne aplikaci. iOS rozhoduje, zda aplikace smí posílat provoz na adresy v místní síti, a ptá se uživatele při prvním pokusu aplikace. Druhá brána je směrovací tabulka. Paket adresovaný 192.168.1.50 buď odejde přes Wi-Fi k tiskárně, nebo vstoupí do tunelu, a tato volba je zapsaná v profilu VPN.
Obě brány selhávají různě, a právě to umožňuje diagnostiku. Odepřené oprávnění zabije vlastní volání socketu v aplikaci, takže aplikace nemá co hlásit a spadne do obecného prázdného stavu. Problém se směrováním vypadá jako vypršení časového limitu, protože pakety opustily telefon a zemřely někde na druhé straně. Stejná prázdná obrazovka, jiná oprava.
Přečtěte stav oprávnění, než se dotknete VPN
Otevřete Nastavení, pak Soukromí a bezpečnost, pak Místní síť. Každá aplikace, která požádala o přístup, se tam objeví s přepínačem. Apple části této obrazovky přesouval a přejmenovával mezi iOS 14 a iOS 18, takže pokud položka není tam, kde ji čekáte, napište Místní síť do vyhledávacího pole nastavení, místo abyste procházeli strom.
Lidi nejvíc chytí jednorázový dotaz. iOS se ptá, když se aplikace poprvé dotkne místní sítě, a jen tehdy. Klepněte na Nepovolit a dotaz se při dalším spuštění nevrátí; přepínač je jediná cesta zpět a na začátku je vypnutý. Přeinstalace aplikace rozhodnutí resetuje, proto některá vlákna s řešením problémů tvrdí, že objevování opravila reinstalace. Opravila, smazáním odmítnutí.
Na spravovaném nebo pod dohledem umístěném iPhonu je přepínač někdy šedý. Profil předvoleb soukromí odeslaný přes MDM může přístup k místní síti přednastavit nebo uzamknout, a uzamčený vypnutý přepínač znamená, že oprava je změna zásady, ne změna telefonu. Apple popisuje dotaz a přepínač pro každou aplikaci zde: support.apple.com/en-us/102229.
Zkontrolujte, co tunel skutečně směruje
Plný tunel bere 0.0.0.0/0 a s ním každý privátní rozsah. Pakety pro 10.x, 172.16.0.0/12 a 192.168.x.x putují na server, který je obvykle zahodí nebo přeloží do vlastní podsítě, takže tiskárna zůstane nedostupná i po udělení oprávnění. Rozdělený tunel dělá opak, ale jen pro rozsahy, které profil vypisuje.
Profily IKEv2 vytvořené v Apple Configurator nebo dodávané jako .mobileconfig to vyjadřují nastavením odesílat veškerý provoz plus, v rozděleném režimu, výslovným seznamem místních sítí k vyloučení. Klientské aplikace postavené na NEPacketTunnelProvider vyjadřují stejné rozhodnutí přes includedRoutes. Ani jedno není vidět ze stavového řádku, a obojí přepisuje to, co aplikace očekává.
Tohle je test, který používám. S připojeným VPN otevřete v Safari administrační stránku routeru přes jeho LAN adresu. Pokud se veřejné weby načítají, zatímco tato stránka vyprší, váš privátní rozsah je v tunelu. Pokud se stránka načte, místní provoz stále odchází přes Wi-Fi a blokace je jinde.
Přiřaďte příznak bráně
Dvě aplikace na stejném telefonu se mohou rozcházet, protože oprávnění se dává na aplikaci, zatímco trasy na profil. Porovnejte, co selhává, než cokoli změníte: vzorec obvykle bránu pojmenuje sám.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
Řádek mDNS si zaslouží poznámku. Provoz zjišťování pro Bonjour a většinu přenosových protokolů jde multicastem na 224.0.0.251 a ff02::fb s rozsahem lokálního spoje a směrovaný tunel ho nepřenáší. Proto zařízení může odpovídat na přímé připojení, aniž by se kdy objevilo v seznamu.
Testujte operaci, ne ikonu
Po přepnutí Místní sítě vynuťte ukončení aplikace z přepínače aplikací a spusťte ji znovu. Běžící proces může držet odepřený stav z doby před změnou a aplikace, která stále vrací prázdný seznam, vypadá stejně, ať oprávnění zabralo, nebo ne. Pak proveďte jednu konkrétní akci, třeba tisk zkušební stránky nebo spuštění videa, místo abyste čekali, až se seznam zařízení naplní.
Držte profil VPN po celé srovnání neměnný. Pokud zjišťování začne fungovat až po odpojení, zjistili jste, že viníkem je tunel, ne oprávnění. Měňte jednu proměnnou na pokus, jinak vám příští běh nic neřekne.
Opravte to v tomto pořadí
Následující sled je ten, který teď dodržuji, protože nikdy nenechá telefon v napůl změněném stavu, kde je další test nečitelný.
- Ověřte, že je aplikace uvedená v Soukromí a bezpečnost, Místní síť, a že její přepínač je zapnutý.
- Vynuťte ukončení, znovu aplikaci spusťte a jednou zopakujte skutečnou operaci.
- Otevřete stránku routeru přes LAN adresu, když jste připojení, abyste prokázali, zda je privátní rozsah v tunelu.
- Pokud je v tunelu, upravte profil tak, aby místní sítě vyloučil, nebo o to požádejte vlastníka profilu.
- Pokud je přepínač šedý, berte zařízení jako spravované a požadavek nasměrujte na správce.
Obvykle platí jen jedna. Pokud žádná výsledek nezmění, zbývajícími podezřelými jsou samotná síť, třeba izolace přístupového bodu nebo seznam povolených klientů vázaný na Wi-Fi adresy, a mapovací tabulka výše ukazuje která.