iPhone-VPN auf Abruf wählt sich ins Büro-WLAN ein, nicht ins Mobilfunknetz

Um neun verbindet sich das Telefon mit dem Büro-WLAN, und der Tunnel kommt von selbst hoch und bleibt den ganzen Tag. Das Mobilfunknetz verhält sich später genau so, wie alle es beabsichtigt hatten. Jemand hat vor Wochen einen Ausschluss für das Firmennetz hinzugefügt, also sieht das Profil bei der Durchsicht sauber aus, und trotzdem liefert jeder Morgen dasselbe Ergebnis. Das Gerät folgt der Liste, die es bekommen hat, und die Liste sagt etwas anderes, als ihr Autor glaubte.

Die Liste wird von oben gelesen, und der erste Treffer gewinnt

Einträge werden der Reihe nach bewertet. Der erste, dessen Bedingungen zutreffen, entscheidet das Ergebnis für diesen Moment, und alles darunter wird nie angesehen. Die Reihenfolge trägt daher genauso viel Bedeutung wie jede innerhalb einer Regel geschriebene Bedingung. Liest man das Array von oben, erklärt sich ein Profil, das einen Ausschluss, den es eindeutig enthält, zu ignorieren scheint.

Ein allgemeiner Eintrag für WLAN-Verbindungen oberhalb des Büro-Ausschlusses garantiert vor Ort einen Tunnel. Sonst muss sich nichts in der Nutzlast bewegen, damit das Verhalten kippt.

Ein Eintrag zum Trennen erledigt zwei Aufgaben

Wenn die Aktion Trennen lautet, schließt der Eintrag eine bereits laufende Sitzung und blockiert eine neue, solange seine Bedingungen wahr bleiben. Beide Hälften sind für einen Ausschluss wichtig, und die zweite Hälfte wird gern vergessen. Derselbe Eintrag in einem zweiten Profil erklärt ein Stockwerk, in dem das VPN den Start verweigert, während der Rest des Gebäudes funktioniert. Niemand hat den Tunnel angefasst; die Liste tat es.

Die Tabelle zeigt die Form, Ausschluss zuerst, mit Namen, die aus Ihrer eigenen Bereitstellung kommen müssen. Zwei Einträge reichen meist, und ein dritter für das Mobilfunknetz hält den Rest berechenbar.

Behalten Sie beide Bedingungen am Ausschluss

Paaren Sie den Netzwerknamen mit dem Schnittstellentyp. Ein Name allein kann auf einer getetherten Verbindung mit derselben Bezeichnung auslösen, während ein Schnittstellentyp allein jedes WLAN ausschließt, das der Nutzer an diesem Tag besucht. Beide Hälften gehören zu einem Eintrag, nicht zu zwei Regeln, die zufällig nebeneinander stehen.

Der Namensvergleich ist exakt und unterscheidet Groß- und Kleinschreibung. Das passt zu einem bekannten Netz und spannt überall sonst, weil Gastnetze vertraute Bezeichnungen wiederverwenden, Standorte nach einer Fusion umbenannt werden und ein kabelgebundener Arbeitsplatz gar keinen Namen trägt. Fragen Sie das Netzwerkteam nach der genauen Bezeichnung, statt sie von einem Schild an der Wand abzulesen.

Wenn eine Sonde einen Namen schlägt

Ein Sonden-Eintrag fordert eine URL an und liest eine erfolgreiche Antwort als erfüllte Bedingung. Wählen Sie einen Host, der nur von innen antwortet, etwa einen Intranet-Dienst, der sich öffentlich nicht auflösen lässt, und die Regel kümmert sich nicht mehr darum, wie das Netz sich selbst nennt. Eine Sonde, die von überall antwortet, testet das Internet statt das Gebäude. Die Eigenschaft, die darüber entscheidet, ob das funktioniert, ist die Antwort, die ohne Weiterleitung ankommt; ein Gästeportal, das jede Anfrage zurückwirft, macht die Sonde zu Rauschen.

Domänenbasierte Regeln sind eine eigene Form: NEEvaluateConnectionRule gleicht angefragte Domänen ab und kann verbinden, wenn ein Name aufgelöst wird. Sein Platzhalter wird nur als linkeste Bezeichnung akzeptiert, also ist *.example.com gültig, example.*.com dagegen nicht. Wenn ein Profil weder Schnittstellenbedingungen noch Erreichbarkeitssonden verwendet, prüfen Sie, ob es stattdessen diesen Regeltyp nutzt.

Was Regeln auf Abruf nicht steuern

Regeln wählen, ob ein Tunnel startet, und haben kein Mitspracherecht dabei, ihn am Laufen zu halten. Eine Sitzung, die erscheint und Minuten später verschwindet, deutet auf Leerlauf-Timer, Sitzungslimits am Gateway oder die Pfadgröße hin. Jedes davon hinterlässt eine andere Spur, und deshalb sollte die Regelliste ausgeschlossen werden, bevor etwas davon geändert wird. Keep-Alive-Einstellungen erklären dieses Muster nicht, und sie zu ändern verlagert die Arbeit, ohne die Ursache zu berühren.

Nutzer können die Funktion auf Abruf in den Einstellungen ausschalten, und eine verwaltete Zuweisung kann sie beim nächsten Check-in wiederherstellen. Wenn der Schalter immer wieder in seine vorige Stellung zurückspringt, ist die Zuweisung die aktive Partei. Dieser Unterschied zählt, weil die Durchsetzung von selbst zurückkommt, während ein Angebot ausgeschaltet bleibt.

Klären Sie, welche Profilgruppe das Gerät besitzt und ob die Absicht ist, den Tunnel durchzusetzen oder ihn nur anzubieten. Diese Antwort entscheidet, ob die Nutzereinstellung als Fehler oder als Funktion gilt.