iPhone-VPN pro Domain: Entscheiden Sie, wo die Ablehnung stattfindet
NeverConnect verhindert den Start des VPN; es blockiert keine Website. Entscheiden Sie, ob die Ablehnung an die Dienstgrenze oder in eine verwaltete Richtlinie gehört.
Zwei Anforderungen werden als ein Satz niedergeschrieben und dann an völlig verschiedenen Stellen umgesetzt. Diese Website darf nur über das VPN erreichbar sein ist eine Aussage über die Zulassung, und ihr natürlicher Ort ist das Netzwerk vor dem Dienst. Dieses iPhone darf jene Domain niemals direkt kontaktieren ist eine Aussage über das Gerät, und nur eine verwaltete Client-Richtlinie kann sie ausdrücken. Entscheiden Sie, welche Sie tatsächlich haben, bevor Sie einen Profileditor öffnen.
Zwei Anforderungen, die gleich klingen
Nehmen Sie den beispielhaften Host records.corp.example. Im Zulassungsfall veröffentlichen Sie ihn nur an Adressen hinter dem VPN, sodass ein direkter Versuch von einem Telefon im Mobilfunknetz am Netzwerk scheitert, während dieselbe Anfrage durch den Tunnel gelingt und weiterhin eine echte Kontoanmeldung verlangt. Im Gerätefall kann das Telefon das öffentliche Internet erreichen, sodass der Host für alle aufgelöst und beantwortet wird, und der einzige Ort, den Versuch zu stoppen, ist das Gerät. Der Dienst kann keine Regel für eine Anfrage durchsetzen, die ihn nie erreicht.
Fehlinterpretation der Anforderung zeigt sich als eine bestimmte Bereitstellung. Der Eintrag ist weiterhin öffentlich, der Betreiber glaubt, das VPN sei verpflichtend, und eine Prüfung eines Mobilfunkversuchs zeigt, dass die Anfrage nie in den Tunnel gelangte. In den Protokollen sieht nichts kaputt aus, weil nichts blockiert wurde.
Lesen Sie die Bewertungsaktionen wörtlich
Die On-Demand-Maschinerie hat zwei getrennte Aktionsschichten, und ihre Vermischung erzeugt hier die meiste Verwirrung. Die äußere Regelaktion entscheidet, was mit dem Tunnel geschieht, wenn die Regel passt, und die Verbindungsbewertungsaktion entscheidet, was mit einer Hostnamen-Übereinstimmung innerhalb einer Bewertungsregel geschieht. Apples Never-Connect-Referenz beschreibt nur die zweite Schicht.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect ist der Wert, der am häufigsten falsch gelesen wird, weil der Name eine Sperre vermuten lässt. Er steuert den Start des Tunnels für einen passenden Hostnamen, nicht die Erlaubnis des Telefons, einen Namen zu erreichen, sodass ein Never-Connect-Eintrag keine Domänensperre ist. Ihn in einem Designdokument so zu bezeichnen, ist der Weg, wie eine Bereitstellung mit einer Durchsetzungsgrenze genehmigt wird, die sie nicht hat.
Wenn Ihnen der Dienst gehört, setzen Sie an der Grenze durch
Zulassung zu beschränken bedeutet, den Namen nur dort zu veröffentlichen, wo der VPN-Pfad ihn erreichen kann, und dann zu testen, dass der beabsichtigte Pfad funktioniert und ein anderer Pfad nicht. Decken Sie jeden veröffentlichten Eintrag ab, beide Adressfamilien, wenn Sie sie veröffentlichen, und jeden Zwischen- oder Alternativnamen, den die App verwendet. Ein alter CNAME, der noch auf einen öffentlichen Load Balancer zeigt, hält den direkten Pfad am Leben, so ordentlich der Haupteintrag auch sein mag.
Dies schützt den Dienst statt das Gerät. Es hindert das Telefon nicht daran, eine DNS-Abfrage zu senden, und es hindert die App nicht daran, es zu versuchen. Wenn diese Versuche akzeptabel sind, ist die Durchsetzung an der Grenze die billigere und dauerhaftere Wahl, weil sie für jeden Client gilt und nicht nur für die, die Sie konfiguriert haben. Sie übersteht auch ein Telefon, das nie registriert wurde.
Wenn das Telefon nicht einmal versuchen darf, brauchen Sie eine verwaltete Richtlinie
Das Stoppen des Versuchs erfordert eine unterstützte Durchsetzungsrichtlinie, die die App oder Ziele vor der Verbindung, während eines Tunnelausfalls und nach einem Netzwerkwechsel abdeckt. Bitten Sie den VPN- oder Geräteverwaltungsanbieter, diese Richtlinie zu benennen, zu sagen, ob sie organisatorische Verwaltung erfordert, und zu beschreiben, was sie sonst noch betrifft. Ein Tunnel pro App plus eine On-Demand-Regel ist nicht dasselbe, und eine Startbildschirm-Verknüpfung zu einer Verbindung ebenso wenig.
Testen Sie den Fehlerfall, indem Sie den Tunnel deaktivieren und beobachten, ob die Anfrage hinausgeht. Wenn ja, ist die Grenze, die Sie dokumentiert haben, nicht die Grenze, die Sie bereitgestellt haben.
Entscheiden Sie mit drei Fragen
Erstens, kontrollieren Sie den Dienst oder nur das Telefon? Zweitens, darf das Gerät das öffentliche Internet für alles andere rechtmäßig nutzen? Drittens, wird das Telefon verwaltet, und von wem? Den Dienst zu besitzen plus eine verwaltete Flotte bedeutet, dass beide Schichten verfügbar sind, während nur das Telefon zu besitzen die Client-Richtlinie zur einzigen Option macht und sie unterstützt sein muss.
Beantworten Sie diese drei, bevor Sie ein Profil anfassen. Dann hört die Konfiguration auf, eine Vermutung darüber zu sein, was ein Kontrollkästchen namens Never bedeutet.