Beth mae’r maes Proxy mewn proffil VPN Apple yn ei wneud mewn gwirionedd
Nid yw llenwi maes proxy yn troi VPN yn HTTP. Mae dau gysylltiad dan sylw, ac mae’r maes yn cyrraedd un yn unig ohonynt.
Mae llenwi’r maes Proxy mewn ffurfweddiad VPN Apple yn teimlo fel petai’n mynd i ailgyfeirio’r tiwnel trwy borth gwe. Nid yw’n gwneud hynny. Mae’r maes yn dewis cyfryngwr ar lefel cymhwysiad ar gyfer traffig y mae ap cydnaws yn dewis ei anfon yno. Ond mae cysylltiad y cleient VPN ei hun â’i giât yn cael ei lywodraethu gan y protocol, y gwrandawr a’r cludydd a ffurfweddwyd gennych, ac mae’r rheini’n benderfyniadau ar wahân.
Dau gysylltiad, dau berchennog
Mae unrhyw osodiad fel hyn yn cynnwys cysylltiad cleient-i-giât a chysylltiad ap-i-gyrchfan. Mae’r adran Proxy yn siarad am yr ail, er ei bod yn yr un proffil â’r cyntaf.
| Connection | What decides its behaviour |
|---|---|
| VPN client to VPN gateway | The supported protocol, the listening port, the transport and the network policy in between |
| Application to a selected proxy | The application's own proxy support, the configured proxy policy, and the route to that next hop |
Mae cyfeirlyfr gosodiadau proxy Apple yn rhestru HTTP, HTTPS, SOCKS a ffurfweddiad proxy awtomatig, sef disgrifiad o ddewisiadau proxy ar gyfer apiau. Nid yw’r un o’r cofnodion hynny’n dweud dim am sut mae pecyn IPsec neu WireGuard yn cyrraedd giât.
Dyma wiriad cyflym sy’n setlo’r mater. Enwch y porth a’r protocol y mae’r cleient VPN yn eu hadrodd yn ei gofnod. Os yw’r llinell honno’n dal i ddweud UDP 500 neu UDP 51820, ni newidiodd y maes proxy ddim arni.
Pryd mae’r maes yn offeryn cywir
Mae achos gwirioneddol lle mae proxy yn sefyll o flaen y tiwnel, ond nodwedd cleient yw hi yn hytrach na maes proffil. Mae llawlyfr OpenVPN yn nodi --http-proxy ar gyfer cysylltiadau TCP a gludir trwy proxy HTTP CONNECT. I’w ddefnyddio mae angen yr opsiwn cleient cyfatebol, giât y gellir ei chyrraedd felly, a proxy sy’n caniatáu CONNECT i’r porth dan sylw.
Os yw eich cleient yn datgelu’r opsiwn hwnnw ac mae’r rhwydwaith yn caniatáu CONNECT i’r porth, gall weithio. Os nad yw’ch cleient yn ei ddatgelu, nid oes gan lenwi proxy system unrhyw effaith ar y tiwnel o gwbl.
Pryd nad yw’n newid dim
Nid yw proffil IKEv2 neu IPsec yn dod yn diwnel HTTP am fod y maes proxy wedi’i lenwi. Nac y mae WireGuard, nad oes gan ei fformat ffurfweddiad unrhyw gysyniad o proxy. Nid yw newid porth y giât yn newid ei phrotocol chwaith. Ac nid yw pwynt terfyn sy’n ateb HTTPS cyffredin yn wrandawr VPN yn awtomatig.
Mae’r un trap yn dal pobl sy’n copïo proffiliau o gyfnod PPTP o hen ganllawiau iPad. Mae’r opsiynau’n dal i fodoli yn y rhyngwyneb; nid yw’r gwasanaeth y tu ôl iddynt yn siarad y protocol hwnnw mwyach.
Penderfynu pa haen i’w thrwsio
Gofynnwch pa haen a fethodd cyn newid unrhyw beth. Os na all y cleient sefydlu sesiwn, y cludydd yw’r broblem ac mae’r maes proxy yn amherthnasol. Os yw’r tiwnel i fyny ond un ap yn methu cyrraedd ei weinydd, mae’n werth archwilio proxy’r ap. Os yw’r tiwnel i fyny ac mae pob ap yn methu, llwybro a DNS y tu mewn i’r tiwnel yw’r rhai dan amheuaeth.
Ar gyfer yr achos cyntaf, gofynnwch i’r gweithredwr pa gludydd neu rwydwaith amgen cymeradwy y maent yn ei gefnogi. Mae OpenVPN dros TCP 443 yn bodoli am fod rhai rhwydweithiau’n caniatáu hynny’n unig, ac mae’n dal i fod angen i’r gweinydd wrando arno.
Peidiwch â chymryd porth UDP sydd wedi’i rwystro fel caniatâd i fyrfyfyrio. Cadwch wiriadau tystysgrif neu hunaniaeth y giât yn gyfan yn lle eu hanalluogi er mwyn i’r handshake ffitio.
Cadarnhewch y ddwy haen un ar y tro
Cadarnhewch y tiwnel yn gyntaf: edrychwch ar dudalen statws y cleient am sesiwn sefydledig a chyfrif beit nad yw’n sero. Yna darllenwch y gosodiad proxy yn uniongyrchol, gyda scutil --proxy ar gyfer y ffurfweddiad effeithiol neu networksetup -getwebproxy Wi-Fi ar gyfer y gwerth a storiwyd. Yna profwch un ap sy’n parchu proxy’r system ac un sy’n ei anwybyddu, oherwydd mae llawer o apiau brodorol yn ei anwybyddu.
Tri chanlyniad, tair gwelliant gwahanol.
Os yw’r ddwy haen yn adrodd llwyddiant ac mae’r ap yn dal i fethu, edrychwch ar diwnelu hollt, DNS a gosodiadau rhwydwaith yr ap ei hun. Trydedd haen yw honno, ac nid y maes proxy yw hi chwaith.