Always On VPN ή VPN On Demand στο iPhone: τι να αναπτύξετε

Δύο iPhone μπορούν και τα δύο να λένε VPN και να συμπεριφέρονται εντελώς διαφορετικά. Το On Demand ανοίγει σήραγγα όταν ταιριάξει ένας κανόνας, και ο χρήστης μπορεί ακόμη να την κλείσει από τις Ρυθμίσεις. Το διαχειριζόμενο Always On κρατά την κάλυψη επιβεβλημένη σε εποπτευόμενη συσκευή, ακόμη και στις στιγμές που η σήραγγα δεν μπορεί να σηκωθεί. Επιλέξτε ρωτώντας τι πρέπει να ισχύει όταν ο χρήστης δεν κάνει τίποτα, και μετά δοκιμάστε τις μεταβάσεις αντί για τη σταθερή κατάσταση. Τα βήματα παρακάτω ακολουθούν τη σειρά με την οποία μια ανάπτυξη αποτυγχάνει πραγματικά.

Βήμα 1: καθορίστε τι μπορεί να επιβάλει η συσκευή

Το Always On είναι λειτουργία για εποπτευόμενες συσκευές. Αν ο στόλος δεν είναι υπό εποπτεία, η συζήτηση τελειώνει πριν αρχίσει, και κανένα κλειδί payload δεν κάνει ένα τηλέφωνο χωρίς εποπτεία επιβεβλημένο. Επιβεβαιώστε την εποπτεία από την πλευρά διαχείρισης και από τη συσκευή, και μετά επιβεβαιώστε ποιος υπέγραψε το προφίλ.

Στο τηλέφωνο: Ρυθμίσεις, μετά Γενικά, μετά VPN και Διαχείριση συσκευής. Η καταχώριση προφίλ αναφέρει τον ιδιοκτήτη της, και ένα προσωπικό προφίλ που εγκαταστάθηκε χειροκίνητα φαίνεται διαφορετικό από ένα που παραδίδεται από υπηρεσία διαχείρισης. Μην συνάγετε επιβολή από το όνομα του προφίλ ή από εμπορική ετικέτα παρόχου· η ετικέτα δεν είναι η πολιτική της πλατφόρμας.

Γράψτε τρία γεγονότα πριν αγγίξετε τη διαμόρφωση: υπό εποπτεία ή όχι, διαχειριζόμενο ή προσωπικό προφίλ, και ποιος πελάτης μεταφέρει τη σήραγγα. Κάθε επόμενο βήμα εξαρτάται από αυτά τα τρία, και η μεταφορά συμπεριφοράς από προσωπικό τηλέφωνο σε διαχειριζόμενο προφίλ είναι ο τρόπος που μια ανάπτυξη εγκρίνεται με λάθος βάση.

Βήμα 2: διαβάστε τους κανόνες on-demand, όχι το όνομα της λειτουργίας

Το On Demand είναι λίστα κανόνων που αξιολογούνται με σειρά. Κάθε κανόνας ονομάζει μια ενέργεια και τις συνθήκες που τον επιλέγουν, και οι συνθήκες είναι το ενδιαφέρον μέρος: τύπος διεπαφής, SSID του Wi-Fi, κατάληξη τομέα DNS ή URL δοκιμής. Ένα σύνολο κανόνων που δεν ταιριάζει ποτέ είναι λειτουργία που δεν συνδέεται ποτέ.

<key>OnDemandRules</key>
<array>
  <dict>
    <key>Action</key><string>EvaluateConnection</string>
    <key>InterfaceTypeMatch</key><string>WiFi</string>
    <key>SSIDMatch</key><array><string>Office-WiFi</string></array>
  </dict>
</array>

Διαβάστε ολόκληρο τον πίνακα και κάντε δύο ερωτήσεις ανά κανόνα: μπορεί ποτέ αυτή η συνθήκη να ισχύει σε αυτόν τον στόλο, και τι γίνεται όταν δεν ταιριάζει κανένας κανόνας; Τα εταιρικά δίκτυα μετονομάζουν σημεία πρόσβασης, συγχωνεύουν SSID και αλλάζουν καταλήξεις DNS, και κάθε τέτοια αλλαγή αποσπά σιωπηλά έναν κανόνα από την πραγματικότητα.

Η συνθήκη κατάληξης DNS είναι η πιο συχνά λάθος στο πεδίο, γιατί η κατάληξη που αναφέρει ένα τηλέφωνο σε δίκτυο επισκεπτών δεν είναι αυτή που εξυπηρετεί ο εταιρικός resolver. Επαληθεύστε το όνομα που πραγματικά επιλύει η συσκευή πριν εμπιστευτείτε τον κανόνα.

Βήμα 3: δοκιμάστε τις μεταβάσεις, όχι τη στατική σύνδεση

Μια σήραγγα που είναι σηκωμένη όσο την κοιτάτε αποδεικνύει ελάχιστα. Εκτελέστε κάθε μετάβαση σκόπιμα και καταγράψτε τι κάνει η συσκευή, χρησιμοποιώντας τον ίδιο ιδιωτικό πόρο κάθε φορά ώστε τα αποτελέσματα να είναι συγκρίσιμα:

• Συνδεθείτε σε δίκτυο όπου ένας κανόνας πρέπει να ταιριάξει, μετά ζητήστε τον ιδιωτικό πόρο και επιβεβαιώστε ότι φορτώνει.
• Περάστε σε κυψελοειδές με την εφαρμογή στο παρασκήνιο, μετά φέρτε την μπροστά και επαναλάβετε το αίτημα.
• Συνδεθείτε σε Wi-Fi με captive portal και δείτε αν η πύλη είναι προσβάσιμη ή αν η επιβολή την μπλοκάρει πριν προλάβετε να ταυτοποιηθείτε.
• Απενεργοποιήστε τη σήραγγα χειροκίνητα σε εποπτευόμενη συσκευή και ελέγξτε αν επιστρέφει μόνη της και πόσο γρήγορα.

Εκτελέστε την ίδια λίστα σε συσκευή χωρίς εποπτεία αν έχετε. Η διαφορά μεταξύ των δύο αποτελεσμάτων είναι η πραγματική συμπεριφορά της ανάπτυξης, και αυτό είναι το κομμάτι που ένα στιγμιότυπο συνδεδεμένης σήραγγας δεν δείχνει ποτέ.

Βήμα 4: γνωρίστε τις δύο μορφές αποτυχίας

Η επιβεβλημένη κάλυψη αποτυγχάνει μπλοκάροντας. Όταν η σήραγγα δεν μπορεί να εδραιωθεί, η συσκευή χάνει τη συνήθη πρόσβαση στο διαδίκτυο μαζί με τους ιδιωτικούς πόρους, και ο χρήστης βιώνει τηλέφωνο που είναι σε σύνδεση αλλά δεν μπορεί να περιηγηθεί. Η επανασύνδεση και το μπλοκάρισμα είναι ξεχωριστές παρατηρήσεις, οπότε καταγράψτε και τις δύο αντί να αντιμετωπίζετε την έλλειψη διαδικτύου ως ένα σύμπτωμα.

Το On Demand αποτυγχάνει μη ενεργοποιούμενο. Ο κανόνας δεν ταιριάζει, δεν εμφανίζεται σήραγγα, και ο ιδιωτικός πόρος απλώς λήγει. Είναι εύκολο να διαγνωστεί λάθος ως πρόβλημα διακομιστή, γιατί ο πελάτης συμπεριφέρεται ακριβώς όπως έχει ρυθμιστεί.

Ένα captive portal βρίσκεται ανάμεσα στα δύο: χρειάζεται συνδεσιμότητα πριν υπάρξει η σήραγγα, οπότε μια πολιτική που μπλοκάρει τα πάντα μέχρι να σηκωθεί η σήραγγα χρειάζεται τεκμηριωμένη διαδρομή μέσα από την πύλη. Αποφασίστε το στον σχεδιασμό, όχι στο γραφείο υποστήριξης.

Βήμα 5: επαληθεύστε και μετά εξασκηθείτε στην επαναφορά

Η επαλήθευση ανήκει στην πραγματική διαδρομή με ακίνδυνη κίνηση: ζητήστε έναν ιδιωτικό πόρο που δεν πρέπει να είναι δημόσιος, επιβεβαιώστε ποια διεύθυνση παρουσιάζει η συσκευή προς τα έξω, και επαναλάβετε μετά από επανεκκίνηση ώστε να έχετε δει την ακολουθία εκκίνησης και όχι μόνο τη θερμή κατάσταση.

Μετά εξασκηθείτε στην αφαίρεση σε δοκιμαστική συσκευή πριν τη χρειαστείτε σε παραγωγή. Η αφαίρεση του προφίλ επιστρέφει τη συσκευή στην προηγούμενη κατάσταση, και το να ξέρετε πόσο διαρκεί και τι βλέπει ο χρήστης είναι μέρος του runbook. Ο οδηγός ασφάλειας VPN της Apple είναι η αναφορά για το τι τεκμηριώνει η πλατφόρμα σχετικά με αυτές τις πολιτικές, και αξίζει να τον διαβάσετε πριν γράψετε διαμόρφωση που ισχυρίζεται περισσότερα από την πλατφόρμα.

Κρατήστε τα τρία γεγονότα από το πρώτο βήμα δίπλα στο σύνολο κανόνων και στα αποτελέσματα δοκιμών. Όταν ο επόμενος άνθρωπος ρωτήσει γιατί ένα τηλέφωνο συνδέεται σε ένα δίκτυο και όχι σε άλλο, αυτές οι σημειώσεις απαντούν σε ένα λεπτό αντί για ανακατασκευή.