VPN ανά τομέα στο iPhone: αποφασίστε πού γίνεται η άρνηση
Το NeverConnect σταματά την εκκίνηση του VPN· δεν μπλοκάρει ιστότοπο. Αποφασίστε αν η άρνηση ανήκει στα όρια της υπηρεσίας ή σε διαχειριζόμενη πολιτική.
Δύο απαιτήσεις γράφονται ως μία πρόταση και έπειτα υλοποιούνται σε εντελώς διαφορετικά σημεία. Το «Αυτός ο ιστότοπος πρέπει να είναι προσβάσιμος μόνο μέσω VPN» είναι δήλωση για την αποδοχή, και το φυσικό του σπίτι είναι το δίκτυο μπροστά από την υπηρεσία. Το «Αυτό το iPhone δεν πρέπει ποτέ να επικοινωνεί απευθείας με εκείνον τον τομέα» είναι δήλωση για τη συσκευή, και μόνο μια διαχειριζόμενη πολιτική πελάτη μπορεί να την εκφράσει. Αποφασίστε ποια από τις δύο έχετε πραγματικά πριν ανοίξετε έναν επεξεργαστή προφίλ.
Δύο απαιτήσεις που ακούγονται ίδιες
Πάρτε τον ενδεικτικό κεντρικό υπολογιστή records.corp.example. Στην περίπτωση αποδοχής τον δημοσιεύετε μόνο σε διευθύνσεις πίσω από το VPN, οπότε μια άμεση προσπάθεια από τηλέφωνο σε κυψελοειδές δίκτυο αποτυγχάνει στο δίκτυο, ενώ το ίδιο αίτημα μέσω της σήραγγας πετυχαίνει και ακόμη απαιτεί πραγματική σύνδεση λογαριασμού. Στην περίπτωση της συσκευής το τηλέφωνο μπορεί να φτάσει στο δημόσιο διαδίκτυο, οπότε ο κεντρικός υπολογιστής επιλύεται και απαντά σε όλους, και το μόνο σημείο για να σταματήσει η προσπάθεια είναι η συσκευή. Η υπηρεσία δεν μπορεί να επιβάλει κανόνα για αίτημα που δεν φτάνει ποτέ σε αυτήν.
Η λανθασμένη ανάγνωση της απαίτησης εμφανίζεται ως συγκεκριμένη ανάπτυξη. Η εγγραφή παραμένει δημόσια, ο χειριστής πιστεύει ότι το VPN είναι υποχρεωτικό, και ένας έλεγχος κυψελοειδούς προσπάθειας δείχνει ότι το αίτημα δεν μπήκε ποτέ στη σήραγγα. Τίποτα στα αρχεία καταγραφής δεν φαίνεται χαλασμένο, γιατί τίποτα δεν μπλοκαρίστηκε.
Διαβάστε τις ενέργειες αξιολόγησης κυριολεκτικά
Ο μηχανισμός κατ' απαίτηση έχει δύο ξεχωριστά επίπεδα ενεργειών, και η σύγχυσή τους παράγει την περισσότερη σύγχυση εδώ. Η ενέργεια του εξωτερικού κανόνα αποφασίζει τι συμβαίνει στη σήραγγα όταν ο κανόνας ταιριάζει, και η ενέργεια αξιολόγησης σύνδεσης αποφασίζει τι συμβαίνει σε μια αντιστοίχιση ονόματος κεντρικού υπολογιστή μέσα σε κανόνα αξιολόγησης. Η αναφορά Never Connect της Apple περιγράφει μόνο το δεύτερο επίπεδο.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect είναι η τιμή που διαβάζεται λανθασμένα πιο συχνά, γιατί το όνομα υπονοεί μπλοκάρισμα. Ελέγχει την εκκίνηση της σήραγγας για ένα ταιριαστό όνομα κεντρικού υπολογιστή, όχι την άδεια του τηλεφώνου να φτάσει ένα όνομα, οπότε μια καταχώριση Never Connect δεν είναι μπλοκάρισμα τομέα. Το να την ονομάσετε έτσι σε έγγραφο σχεδίασης είναι ο τρόπος με τον οποίο μια ανάπτυξη εγκρίνεται με όριο επιβολής που δεν έχει.
Όταν η υπηρεσία είναι δική σας, επιβάλλετε στα όρια
Ο περιορισμός της αποδοχής σημαίνει δημοσίευση του ονόματος μόνο όπου η διαδρομή του VPN μπορεί να το φτάσει, και έπειτα δοκιμή ότι η προβλεπόμενη διαδρομή λειτουργεί και μια άλλη διαδρομή όχι. Καλύψτε κάθε δημοσιευμένη εγγραφή, και τις δύο οικογένειες διευθύνσεων αν τις δημοσιεύετε, και οποιοδήποτε ενδιάμεσο ή εναλλακτικό όνομα χρησιμοποιεί η εφαρμογή. Ένα παλιό CNAME που εξακολουθεί να δείχνει σε δημόσιο εξισορροπητή φόρτου κρατά την άμεση διαδρομή ζωντανή όσο τακτοποιημένη κι αν είναι η κύρια εγγραφή.
Αυτό προστατεύει την υπηρεσία και όχι τη συσκευή. Δεν εμποδίζει το τηλέφωνο να στείλει ερώτημα DNS, και δεν εμποδίζει την εφαρμογή να προσπαθήσει. Αν αυτές οι προσπάθειες είναι αποδεκτές, η επιβολή στα όρια είναι η φθηνότερη και πιο ανθεκτική επιλογή, γιατί ισχύει για κάθε πελάτη και όχι μόνο για όσους διαμορφώσατε. Επιβιώνει επίσης από ένα τηλέφωνο που δεν καταχωρίστηκε ποτέ.
Όταν το τηλέφωνο δεν πρέπει καν να προσπαθήσει, χρειάζεστε διαχειριζόμενη πολιτική
Το σταμάτημα της προσπάθειας απαιτεί υποστηριζόμενη πολιτική επιβολής που καλύπτει την εφαρμογή ή τους προορισμούς πριν από τη σύνδεση, κατά τη διάρκεια αποτυχίας της σήραγγας και μετά από αλλαγή δικτύου. Ζητήστε από τον πάροχο VPN ή διαχείρισης συσκευών να ονομάσει αυτή την πολιτική, να πει αν απαιτεί οργανωτική διαχείριση και να περιγράψει τι άλλο επηρεάζει. Μια σήραγγα ανά εφαρμογή συν έναν κανόνα κατ' απαίτηση δεν είναι το ίδιο πράγμα, ούτε μια συντόμευση αρχικής οθόνης προς μια σύνδεση.
Δοκιμάστε την περίπτωση αποτυχίας απενεργοποιώντας τη σήραγγα και παρακολουθώντας αν το αίτημα βγαίνει έξω. Αν βγαίνει, το όριο που τεκμηριώσατε δεν είναι το όριο που αναπτύξατε.
Αποφασίστε με τρεις ερωτήσεις
Πρώτον, ελέγχετε την υπηρεσία ή μόνο το τηλέφωνο; Δεύτερον, επιτρέπεται στη συσκευή να χρησιμοποιεί νόμιμα το δημόσιο διαδίκτυο για όλα τα άλλα; Τρίτον, το τηλέφωνο είναι διαχειριζόμενο, και από ποιον; Το να κατέχετε την υπηρεσία συν έναν διαχειριζόμενο στόλο σημαίνει ότι οποιοδήποτε επίπεδο είναι διαθέσιμο, ενώ το να κατέχετε μόνο το τηλέφωνο καθιστά την πολιτική πελάτη τη μόνη επιλογή και πρέπει να υποστηρίζεται.
Απαντήστε σε αυτά τα τρία πριν αγγίξετε ένα προφίλ. Τότε η διαμόρφωση παύει να είναι εικασία για το τι σημαίνει ένα πλαίσιο ελέγχου με το όνομα Never.