VPN pro iPhone podle domén: rozhodněte, kde k odmítnutí dochází
NeverConnect zamezuje spuštění VPN; neblokuje webovou stránku. Rozhodněte, zda odmítnutí patří na hranici služby, nebo do spravované zásady.
Dva požadavky se zapíší jako jedna věta a pak se implementují na zcela různých místech. „Tato stránka musí být dostupná jen přes VPN“ je tvrzení o vpuštění a jejím přirozeným domovem je síť před službou. „Tento iPhone se nikdy nesmí přímo spojit s tou doménou“ je tvrzení o zařízení a vyjádřit je může jen spravovaná klientská zásada. Rozhodněte, který z nich skutečně máte, než otevřete editor profilu.
Dva požadavky, které znějí stejně
Vezměte ilustrativní hostitel records.corp.example. V případě vpuštění jej zveřejňujete jen na adresy za VPN, takže přímý pokus z telefonu v mobilní síti selže v síti, zatímco stejný požadavek tunelem uspěje a stále vyžaduje skutečné přihlášení k účtu. V případě zařízení se telefon může dostat na veřejný internet, takže hostitel se resolvuje a odpovídá komukoli, a jediné místo, kde pokus zastavit, je zařízení. Služba nemůže vynutit pravidlo pro požadavek, který k ní nikdy nedorazí.
Špatné čtení požadavku se projeví jako konkrétní nasazení. Záznam je stále veřejný, operátor věří, že VPN je povinná, a audit mobilního pokusu ukáže, že požadavek nikdy do tunelu nevstoupil. V logech nic nevypadá rozbité, protože nic nebylo zablokováno.
Čtěte akce vyhodnocení doslovně
Mechanismus na vyžádání má dvě odlišné vrstvy akcí a jejich slévání způsobuje většinu zdejšího zmatku. Akce vnějšího pravidla rozhoduje, co se stane s tunelem, když pravidlo odpovídá, a akce vyhodnocení připojení rozhoduje, co se stane se shodou názvu hostitele uvnitř vyhodnocovacího pravidla. Appleova reference Never Connect popisuje jen druhou vrstvu.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect je hodnota, která se nejčastěji čte špatně, protože název naznačuje blokování. Řídí spuštění tunelu pro odpovídající název hostitele, nikoli oprávnění telefonu dosáhnout názvu, takže položka Never Connect není blokování domény. Označit ji tak v návrhovém dokumentu je způsob, jak schválit nasazení s hranicí vynucení, kterou nemá.
Když službu vlastníte, vynucujte na hranici
Omezení vpuštění znamená zveřejnit název jen tam, kam se cesta přes VPN dostane, a pak otestovat, že zamýšlená cesta funguje a jiná cesta ne. Pokryjte každý zveřejněný záznam, obě rodiny adres, pokud je zveřejňujete, a jakýkoli mezilehlý nebo alternativní název, který aplikace používá. Starý CNAME stále ukazující na veřejný vyrovnávací prvek zátěže udržuje přímou cestu živou bez ohledu na to, jak uklizený je hlavní záznam.
To chrání službu, nikoli zařízení. Nezastaví telefon od odeslání DNS dotazu a nezastaví aplikaci od pokusu. Pokud jsou tyto pokusy přijatelné, vynucení na hranici je levnější a trvanlivější volba, protože platí pro každého klienta, ne jen pro ty, které jste nakonfigurovali. Přežije i telefon, který nikdy nebyl zaregistrován.
Když telefon nesmí ani zkusit, potřebujete spravovanou zásadu
Zastavení pokusu vyžaduje podporovanou zásadu vynucení, která pokrývá aplikaci nebo cíle před připojením, během selhání tunelu a po změně sítě. Požádejte poskytovatele VPN nebo správy zařízení, aby tuto zásadu pojmenoval, řekl, zda vyžaduje organizační správu, a popsal, co dalšího ovlivňuje. Tunel pro jednotlivou aplikaci plus pravidlo na vyžádání není totéž a zkratka na ploše k připojení také ne.
Otestujte případ selhání vypnutím tunelu a sledováním, zda požadavek odejde. Pokud odejde, hranice, kterou jste zdokumentovali, není hranice, kterou jste nasadili.
Rozhodněte třemi otázkami
Za prvé, ovládáte službu, nebo jen telefon? Za druhé, smí zařízení legitimně používat veřejný internet pro všechno ostatní? Za třetí, je telefon spravovaný, a kým? Vlastnictví služby plus spravovaná flotila znamená, že je dostupná kterákoli vrstva, zatímco vlastnictví jen telefonu činí klientskou zásadu jedinou možností a ta musí být podporovaná.
Odpovězte na ty tři, než se dotknete profilu. Konfigurace pak přestane být hádáním o tom, co znamená zaškrtávací pole jménem Never.