VPN pro jednotlivé aplikace u spravovaných aplikací na iPhonu: co se směruje a co ne
Tunel pro jednotlivou aplikaci sleduje spravovanou aplikaci, ne telefon. Zkontrolujte přiřazení profilu, spravovanou kopii, pravidla na vyžádání a toky, které z aplikace vycházejí.
VPN pro jednotlivou aplikaci na iPhonu není přepínač pro celý telefon. Je to přiřazení mezi jednou spravovanou aplikací a jedním profilem VPN, vytvořené při nasazení aplikace, a provoz všeho ostatního si zachovává trasu, kterou měl dřív. Proto se stejný telefon chová nekonzistentně: pracovní aplikace otevře soukromou stránku, zatímco Safari nedosáhne stejného hostitele, nebo se tunel vůbec nezvedne a aplikace hlásí vypršení času, které vypadá jako špatné přihlašovací údaje. Kontroly jdou od nejširší příčiny dolů, takže se zastavte u první, která selže.
Nejdřív zkontrolujte profil a záznam aplikace
Přiřazení žije ve dvou objektech, ne v jednom. Profil VPN definuje tunel: typ, server, ověřování, DNS a identifikátor balíčku poskytovatele, pokud se používá vlastní klient. Záznam aplikace na tento profil ukazuje a většina správních konzolí to nabízí jako volbu pro jednotlivou aplikaci v konfiguraci aplikace, s názvem blízkým Per-App VPN. Profil, na který neukazuje žádná aplikace, nic pro jednotlivé aplikace nesměruje; chová se jako běžný tunel, který musí někdo spustit ručně.
Přečtěte oba objekty, než se telefonu dotknete. Ověřte, že konfigurace aplikace odkazuje na profil, který testujete, a ne na jeho starší kopii, protože duplicitní profily s téměř stejnými názvy jsou po migraci běžné a aplikace ráda ukáže na stažený. Pak ověřte, že se konfigurace dostala do zařízení: Nastavení, Obecné, VPN a správa zařízení ji musí zobrazit jako nainstalovaný profil. Seznam VPN tam není test. Služba pro jednotlivou aplikaci obvykle nemá ruční přepínač, takže správně nasazená konfigurace se mezi spustitelnými VPN nemusí nikdy objevit. Nepřítomnost se projeví v záznamu aplikace a v tom, zda se tunel zvedne při prvním požadavku aplikace.
Jedna podmínka vysvětluje mnoho tiketů: tento model potřebuje, aby aplikace přišla přes správu. Postranně nainstalovaná nebo osobně zakoupená kopie přiřazení nezíská, i když se identifikátor balíčku shoduje. Apple ve své příručce k nasazení VPN popisuje model profilu, který za tím stojí (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).
Ověřte, že nainstalovaná aplikace je spravovaná kopie
Přiřazení sleduje nainstalovanou, spravovanou aplikaci. Pokud ji někdo přeinstaloval z App Store pod osobním Apple ID, nahradil ji znovu podepsaným podnikovým buildem nebo bylo zařízení znovu zapsáno a aplikace se vrátila jiným kanálem, tunel může zůstat dole, zatímco aplikace vypadá naprosto normálně.
Testujte srovnáním, ne jediným pozorováním. V inventáři správy má být aplikace pro dané zařízení vedena jako spravovaná s mapováním VPN v záznamu. V telefonu se má tunel zvednout při spuštění aplikace a odchodu jejího prvního požadavku, ne jen když někdo spustí samostatnou ruční konfiguraci v Nastavení. Pokud spuštění aplikace nic nezmění a ta ruční konfigurace ano, aplikace není k tunelu pro jednotlivou aplikaci vůbec připoutaná.
Aktualizace jsou důležité: ta prosazená správou mapování udrží, kdežto přeinstalace zahájená uživatelem ho může ztratit. Když stížnost pochází z aktualizace, zkontrolujte záznam aplikace dřív než síť.
Zkontrolujte, co si tunel smí vzít
Tunel pro jednotlivou aplikaci se vybírá podle zdrojové aplikace, takže výchozí trasa telefonu pořád patří Wi-Fi nebo mobilní síti. OverridePrimary je klíč, který to mění. Když ho profil nastaví, tunel se chová jako plný tunel a každá aplikace ho zdědí, takže vše přes VPN se stává otázkou profilu, ne poruchou aplikace.
Pravidla na vyžádání rozhodují o vytrvalosti. OnDemandEnabled a jeho sada pravidel způsobují, že se tunel vrací, když aplikace pošle provoz, přežije přechod z Wi-Fi na mobilní síť nebo spadne, jakmile aplikace přejde na pozadí. Nasazení, které se připojí a pak tiše umře, má obvykle pravidlo odpovídající jen sondě, která se nikdy nespustí, dokud aplikace nečinně stojí.
Pak poctivě přečtěte stranu tras. Pokud profil poskytovatele nebo dodavatele dodává seznam zahrnutí, tunel nesoucí jen 10.20.0.0/16 nepřenese službu v 10.30.0.0/16; to seznam dělá svou práci, ne porucha jednotlivé aplikace. Vestavěný profil iOS seznam zahrnutí nemá. Bez něj dělení sleduje výchozí hodnoty poskytovatele a IncludeAllNetworks, ne skrytý seznam.
Otestujte aplikaci, pak otestujte, co z ní vychází
Testujte jménem, ne jen adresou. Překlad interního hostitele uvnitř spravované aplikace dokazuje, že i DNS prošlo tunelem, protože profil rozhoduje, který resolver odpovídá a které vyhledávací domény se použijí. Směrování může být dokonalé, zatímco hledání jména selhává, a ty dva příznaky ukazují na různá nastavení.
Pak otestujte hranici z obou stran. Osobní aplikace nebo Safari mají dosáhnout běžné veřejné stránky a hlásit adresu operátora nebo domova, zatímco spravovaná aplikace dosáhne soukromé služby. Pokud obě hlásí stejnou veřejnou adresu, tunel už není pro jednotlivou aplikaci, ať záznam aplikace tvrdí cokoli.
Toky, které z aplikace vycházejí, vytvářejí zmatené tikety. Odkaz otevřený v Safari, dokument předaný přes seznam sdílení nebo přihlášení SSO, které přejde do prohlížeče, opouští proces aplikace a s ním i tunel. Přihlášení vykreslené uvnitř aplikace se obvykle přisuzuje aplikaci, takže vložené přihlášení může uspět tam, kde stejná URL v Safari selže; ověřte to, místo abyste to předpokládali. Když je poskytovatel identity dostupný jen přes tunel, buď přihlášení udržte uvnitř aplikace, nebo přidejte doménu poskytovatele do domén Safari profilu, aby se odpovídající provoz Safari zachytil.
Přiřaďte příznak k vrstvě
Tvar poruchy vám řekne, kterou kontrolu opakovat.
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
Za prostředními řádky stojí dva detaily: tunel pro jednotlivou aplikaci může být zdravý a přesto minout podsíť, kterou žádný seznam poskytovatele neobsahuje, a spravovaný telefon může držet víc než jednu konfiguraci VPN, takže ověřte, ke které je aplikace připoutaná, místo abyste předpokládali, že je to ta, kterou čtete.
Opravujte v tomto pořadí: opravte záznam aplikace, aby odkazoval na živý profil, přeinstalujte aplikaci přes správu, ověřte, že se tunel zvedne při prvním požadavku aplikace, a pak zopakujte testy jména a hranice. Pokud první požadavek vůbec nemůže spustit tunel, zastavte se a zkontrolujte stranu poskytovatele, protože vlastní klient potřebuje přítomný Network Extension s identifikátorem odpovídajícím nainstalované aplikaci.
Vraťte tři fakta místo snímku obrazovky: na který profil odkazuje záznam aplikace, zda ji Nastavení zobrazují jako nainstalovaný profil a který požadavek selhal — jméno, adresa, nebo předání do prohlížeče. Ty tři odpovědi oddělují chybu nasazení od chyby směrování a další člověk může jednat, aniž by diagnózu opakoval.