iPhones VPN på anmodning kobler op på kontorets Wi-Fi, ikke på mobilnettet

Klokken ni slutter telefonen sig til kontorets trådløse netværk, og tunnelen kommer op af sig selv og bliver der hele dagen. Mobilnettet opfører sig senere præcis, som alle havde tænkt sig. Nogen tilføjede en udelukkelse for virksomhedsnetværket for uger siden, så profilen ser ren ud ved gennemgang, og hver morgen giver stadig det samme resultat. Enheden følger den liste, den har fået, og listen siger noget andet, end dens forfatter troede.

Listen læses oppefra, og det første match vinder

Posterne vurderes i rækkefølge. Den første, hvis betingelser holder, afgør resultatet for det øjeblik, og alt nedenunder bliver aldrig set på. Rækkefølgen bærer derfor lige så meget betydning som enhver betingelse, der står inde i en regel. Læser man arrayet oppefra, forklares en profil, der ser ud til at ignorere en udelukkelse, som den tydeligt indeholder.

En generel post til trådløs forbindelse anbragt over kontorets udelukkelse garanterer en tunnel på stedet. Intet andet i nyttelasten behøver at flytte sig, for at adfærden vender.

En post til afbrydelse gør to ting

Når handlingen er Afbryd, lukker posten en session, der allerede kører, og blokerer en ny, så længe dens betingelser er sande. Begge halvdele betyder noget for en udelukkelse, og den anden halvdel bliver ofte glemt. Den samme post i en anden profil forklarer en etage, hvor VPN nægter at starte, mens resten af bygningen virker. Ingen rørte tunnelen; listen gjorde.

Tabellen viser formen, udelukkelse først, med navne, der skal komme fra din egen udrulning. To poster klarer normalt dagen, og en tredje til mobilnettet holder resten forudsigelig.

Behold begge betingelser på udelukkelsen

Par netværksnavnet med grænsefladetypen. Et navn alene kan udløses på en delt forbindelse med samme etiket, mens en grænsefladetype alene udelukker hvert trådløst netværk, brugeren besøger den dag. Begge halvdele hører til én post, ikke til to regler, der tilfældigvis står ved siden af hinanden.

Navnesammenligningen er præcis og skelner mellem store og små bogstaver. Det passer til ét kendt netværk og strammer overalt ellers, fordi gæstenetværk genbruger velkendte etiketter, lokaliteter omdøbes efter en fusion, og et kablet skrivebord slet ikke har noget navn. Spørg netværksteamet om den præcise etiket i stedet for at læse den fra et skilt på væggen.

Når en probe slår et navn

En probe-post anmoder om en URL og læser et vellykket svar som en sand betingelse. Vælg en vært, der kun svarer indefra, som en intranet-tjeneste, der ikke kan slås op offentligt, og reglen holder op med at være ligeglad med, hvad netværket kalder sig selv. En probe, der svarer hvor som helst fra, tester internettet, ikke bygningen. Den egenskab, der afgør, om dette virker, er, at svaret ankommer uden en omdirigering; en gæsteportal, der afviser hver anmodning, gør proben til støj.

Domænebaserede regler er en særskilt form: NEEvaluateConnectionRule matcher anmodede domæner og kan forbinde, når et navn slås op. Dets jokertegn accepteres kun som den venstreste etiket, så *.example.com er gyldigt, mens example.*.com ikke er. Hvis en profil hverken bruger grænsefladebetingelser eller tilgængelighedsprober, så tjek, om den i stedet bruger den regeltype.

Hvad regler på anmodning ikke styrer

Regler vælger, om en tunnel starter og har ingen indflydelse på at holde den kørende. En session, der dukker op og derefter forsvinder minutter senere, peger på inaktivitetstimere, gateway-sessionsgrænser eller stiens størrelse. Hver af dem efterlader et forskelligt spor, og det er grunden til at udelukke regellisten, før nogen af dem ændres. Indstillinger for keep-alive forklarer ikke det mønster, og at ændre dem flytter arbejdet uden at røre årsagen.

Brugere kan slå anmodning fra i Indstillinger, og en administreret tildeling kan gendanne den ved næste check-in. Når kontakten bliver ved med at glide tilbage til sin tidligere position, er tildelingen den aktive part. Forskellen betyder noget, fordi håndhævelse kommer tilbage af sig selv, mens et tilbud forbliver slået fra.

Bekræft, hvilken profilgruppe der ejer enheden, og om hensigten er at håndhæve tunnelen eller blot tilbyde den. Det svar afgør, om brugerens præference tæller som en fejl eller som en funktion.