VPN fesul parth ar iPhone: penderfynwch ble mae'r gwrthod yn digwydd
Mae NeverConnect yn atal y VPN rhag cychwyn; nid yw'n blocio gwefan. Penderfynwch a yw'r gwrthod yn perthyn i ffin y gwasanaeth neu i bolisi a reolir.
Mae dau ofyniad yn cael eu hysgrifennu fel un frawddeg ac yna eu gweithredu mewn lleoedd hollol wahanol. Mae „Rhaid i'r safle hwn fod yn hygyrch dim ond drwy'r VPN“ yn ddatganiad am dderbyn, a'i gartref naturiol yw'r rhwydwaith o flaen y gwasanaeth. Mae „Rhaid i'r iPhone hwn beidio â chysylltu'n uniongyrchol â'r parth hwnnw byth“ yn ddatganiad am y ddyfais, a dim ond polisi cleient a reolir all ei fynegi. Penderfynwch pa un sydd gennych mewn gwirionedd cyn agor golygydd proffil.
Dau ofyniad sy'n swnio'r un peth
Cymerwch y gwesteiwr enghreifftiol records.corp.example. Yn achos derbyn, rydych yn ei gyhoeddi dim ond i gyfeiriadau y tu ôl i'r VPN, felly mae ymgais uniongyrchol o ffôn ar rwydwaith symudol yn methu yn y rhwydwaith, tra bod yr un cais drwy'r twnnel yn llwyddo ac yn dal i fynnu mewngofnodion cyfrif go iawn. Yn achos y ddyfais, gall y ffôn gyrraedd y rhyngrwyd cyhoeddus, felly mae'r gwesteiwr yn datrys ac yn ateb i bawb, a'r unig le i atal yr ymgais yw'r ddyfais. Ni all y gwasanaeth orfodi rheol am gais na chyrhaeddodd ef byth.
Mae camddarllen y gofyniad yn ymddangos fel defnydd penodol. Mae'r cofnod yn dal yn gyhoeddus, mae'r gweithredwr yn credu bod y VPN yn orfodol, ac mae archwiliad o ymgais symudol yn dangos na chafodd y cais fynd i'r twnnel erioed. Nid oes dim yn y logiau yn edrych wedi torri, oherwydd ni chafodd dim ei flocio.
Darllenwch y gweithredoedd gwerthuso'n llythrennol
Mae gan y peirianwaith ar-alw ddwy haen wahanol o weithredoedd, ac mae cymysgu'r ddwy yn achosi'r rhan fwyaf o'r dryswch yma. Mae gweithred y rheol allanol yn penderfynu beth sy'n digwydd i'r twnnel pan fydd y rheol yn cyfateb, ac mae gweithred gwerthuso'r cysylltiad yn penderfynu beth sy'n digwydd i gyfatebiaeth enw gwesteiwr y tu mewn i reol werthuso. Nid yw cyfeirnod Never Connect Apple yn disgrifio ond yr ail haen.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect yw'r gwerth sy'n cael ei gamddarllen amlaf, oherwydd bod yr enw'n awgrymu bloc. Mae'n llywodraethu cychwyn y twnnel ar gyfer enw gwesteiwr sy'n cyfateb, nid caniatâd y ffôn i gyrraedd enw, felly nid yw cofnod Never Connect yn floc parth. Ei alw felly mewn dogfen ddylunio yw'r ffordd y caiff defnydd ei gymeradwyo gyda ffin gorfodi nad yw'n ei chael.
Pan fo'r gwasanaeth gennych, gorfodwch ar y ffin
Cyfyngu derbyniad yw cyhoeddi'r enw dim ond lle gall llwybr y VPN ei gyrraedd, ac yna profi bod y llwybr arfaethedig yn gweithio ac nad yw llwybr arall yn gweithio. Gorchuddiwch bob cofnod cyhoeddedig, y ddau deulu cyfeiriad os ydych yn eu cyhoeddi, ac unrhyw enw canolraddol neu amgen y mae'r ap yn ei ddefnyddio. Mae hen CNAME sy'n dal i bwyntio at falansydd llwyth cyhoeddus yn cadw'r llwybr uniongyrchol yn fyw waeth pa mor daclus yw'r prif gofnod.
Mae hyn yn amddiffyn y gwasanaeth yn hytrach na'r ddyfais. Nid yw'n atal y ffôn rhag anfon ymholiad DNS, ac nid yw'n atal yr ap rhag ceisio. Os yw'r ymdrechion hynny'n dderbyniol, gorfodi ar y ffin yw'r dewis rhatach a mwy parhaol, oherwydd ei fod yn dal ar gyfer pob cleient yn lle dim ond y rhai a ffurfweddwyd gennych. Mae hefyd yn goroesi ffôn na chafodd ei gofrestru erioed.
Pan na ddylai'r ffôn hyd yn oed geisio, mae angen polisi a reolir
Mae atal yr ymgais angen polisi gorfodi a gefnogir sy'n gorchuddio'r ap neu'r cyrchfannau cyn cysylltu, yn ystod methiant twnnel, ac ar ôl newid rhwydwaith. Gofynnwch i ddarparwr y VPN neu'r rheoli dyfeisiau enwi'r polisi hwnnw, dweud a yw'n gofyn am reolaeth sefydliadol, a disgrifio beth arall y mae'n effeithio arno. Nid yw twnnel fesul ap ynghyd â rheol ar-alw yr un peth, ac nid yw llwybr byr o'r sgrin gartref i gysylltiad ychwaith.
Profwch yr achos methiant drwy analluogi'r twnnel a gwylio a yw'r cais yn mynd allan. Os yw'n mynd, nid y ffin a dogfennwyd gennych yw'r ffin a osodwyd gennych.
Penderfynwch gyda thair cwestiwn
Yn gyntaf, a ydych yn rheoli'r gwasanaeth neu'r ffôn yn unig? Yn ail, a gaiff y ddyfais ddefnyddio'r rhyngrwyd cyhoeddus yn gyfreithlon ar gyfer popeth arall? Yn drydydd, a yw'r ffôn yn cael ei reoli, a chan bwy? Mae meddu ar y gwasanaeth ynghyd â fflyd a reolir yn golygu bod naill haen ar gael, tra mae meddu ar y ffôn yn unig yn gwneud polisi'r cleient yn unig opsiwn ac mae'n rhaid ei gefnogi.
Atebwch y tri hynny cyn cyffwrdd â phroffil. Yna mae'r ffurfweddiad yn peidio â bod yn ddyfalu am ystyr blwch ticio o'r enw Never.