Ikona VPN na iPhonu je zapnutá: pokrývá všechny aplikace, nebo jen funguje?
Jeden odznak, tři různá tvrzení. Oddělte, co profil pokrývá, co dělají pravidla na vyžádání a kterou rodinu adres jste skutečně testovali.
Odznak se objeví, aplikace se dál chová, jako by byla doma, a zřejmý závěr je, že tunel je rozbitý. Obvykle není rozbité nic. Odznak hlásí jedno připojení, zatímco otázka za ním se týká pokrytí, a to jsou různá tvrzení.
Které tvrzení můžete vyslovit, rozhodují tři podmínky. Dokud nejsou vyřešeny, je každý výsledek testu nejednoznačný.
Za jednou ikonou se skrývají tři odpovědi
První otázka je, co jste chtěli, aby tunel dělal. Dosáhnout na interní wiki, skrýt svou adresu před streamovací službou a chránit jednu spravovanou aplikaci jsou tři různé požadavky, které splňují tři různé profily.
Druhá je, kdo profil vlastní. Osobně nainstalovaná konfigurace se chová jinak než ta, kterou odešle systém správy, a jen druhá může nést pravidla pro jednotlivé aplikace, která iOS vynucuje. Odznak tyto dvě nerozliší.
Třetí je rodina adres, na které stojíte. Tunel, který přenáší IPv4, zatímco síť přiděluje IPv6, nechává jednu cestu mimo tunel. Test, který dosáhne jen na stránku s IPv4, to nikdy neuvidí.
Profily pro jednotlivé aplikace pokrývají jen své aplikace
VPN pro jednotlivé aplikace je případ, který vytváří nejvíc falešných poplachů. Profil pojmenovává aplikace, jejichž provoz vstupuje do tunelu, a vše ostatní pokračuje po místní síti podle návrhu. To, že vaše veřejná adresa v prohlížeči zůstává stejná, je proto očekávané chování, ne důkaz selhání. Nic ve stavovém řádku tomu neodporuje.
Testujte aplikaci, pro kterou byl profil vytvořen, a testujte ji proti prostředku, který existuje jen uvnitř. Úspěšný interní požadavek z uvedené aplikace popisuje fungující nastavení. Normální veřejná adresa v Safari pak popisuje profil pro jednotlivé aplikace, který funguje přesně tak, jak je nakonfigurován.
Pravidla na vyžádání mění to, co pozorujete
Konfigurace na vyžádání rozhoduje, kdy se připojení naváže, ne zda je provoz pokrytý. Pravidlo může tunel zvednout, když je požadována určitá doména, a sundat ho, když požadavek skončí, což znamená, že objevování a mizení odznaku při běžném používání je návrh, který funguje. Přečtěte si pravidla, než odznak vyložíte.
Toto chování také vysvětluje výsledky, které během dne vypadají nekonzistentně. Stejná aplikace může jít tunelem v deset dopoledne a přímo v poledne, protože se změnila spouštěcí podmínka, ne politika.
Jedna sonda není důkaz pokrytí
Jediná kontrola v prohlížeči dokazuje, že jeden požadavek šel jednou cestou, a nic víc. Neříká nic o druhé aplikaci s vlastním síťovým zásobníkem, o synchronizaci na pozadí, která proběhla před zvednutím tunelu, nebo o spojení, které přežilo změnu sítě, protože starý socket nebyl nikdy znovu navázán. Ta mezera je problém rozsahu, ne únik.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
Čtvrtý řádek je jediný, který ukazuje na závadu. Připojený tunel s rozbitým překladem jmen, chybějící zpětnou cestou nebo jednoduše nefunkční službou vypadají z pohledu aplikace stejně.
Co si poznamenat před eskalací
Zapište název profilu, zda přišel ze systému správy, zda jsou přítomna pravidla pro jednotlivé aplikace a přesný čas neúspěšného požadavku. Přidejte rodinu adres, kterou jste testovali, a aplikaci, ze které jste testovali. Žádné číslo na obrazovce ten seznam nenahradí. Ten záznam oddělí otázku pokrytí od výpadku v jednom kole.
Mějte na paměti i základy bezpečnosti. Tunel nenahrazuje ověřování certifikátů, ochranu účtu ani oprávnění zařízení. Ikona vedle stavu sítě není důkazem, že je něco z toho nastaveno, a takový přístup je způsob, jak se tvrzení o soukromí staví na síle odznaku.
Přehled nasazení VPN od Applu popisuje typy profilů a chování na vyžádání, které za těmito rozdíly stojí. Přečtěte si ho, než se budete se systémem správy hádat o tom, co má profil pokrývat.