VPN ανά εφαρμογή σε διαχειριζόμενες εφαρμογές iPhone: τι δρομολογείται και τι όχι

Το VPN ανά εφαρμογή στο iPhone δεν είναι διακόπτης για όλο το τηλέφωνο. Είναι μια συσχέτιση ανάμεσα σε μία διαχειριζόμενη εφαρμογή και ένα προφίλ VPN, που δημιουργείται όταν αναπτύσσεται η εφαρμογή, και η κίνηση όλων των άλλων διατηρεί τη διαδρομή που είχε πριν. Γι' αυτό το ίδιο τηλέφωνο συμπεριφέρεται ασυνεπώς: η εφαρμογή εργασίας ανοίγει μια ιδιωτική σελίδα ενώ το Safari δεν φτάνει στον ίδιο κεντρικό υπολογιστή, ή το τούνελ δεν σηκώνεται καθόλου και η εφαρμογή αναφέρει ένα όριο χρόνου που μοιάζει με λάθος διαπιστευτήρια. Οι έλεγχοι τρέχουν από την ευρύτερη αιτία προς τα κάτω, οπότε σταματήστε στον πρώτο που αποτυγχάνει.

Ελέγξτε πρώτα το προφίλ και την εγγραφή της εφαρμογής

Η συσχέτιση ζει σε δύο αντικείμενα, όχι σε ένα. Το προφίλ VPN ορίζει το τούνελ: τύπο, διακομιστή, έλεγχο ταυτότητας, DNS, και το αναγνωριστικό πακέτου του παρόχου όταν χρησιμοποιείται προσαρμοσμένος πελάτης. Η εγγραφή της εφαρμογής δείχνει σε αυτό το προφίλ, και οι περισσότερες κονσόλες διαχείρισης το προσφέρουν ως επιλογή ανά εφαρμογή στη διαμόρφωση της εφαρμογής, με όνομα κοντά στο Per-App VPN. Ένα προφίλ στο οποίο δεν δείχνει καμία εφαρμογή δεν δρομολογεί τίποτα ανά εφαρμογή· συμπεριφέρεται σαν συνηθισμένο τούνελ που κάποιος πρέπει να ξεκινήσει με το χέρι.

Διαβάστε και τα δύο αντικείμενα πριν αγγίξετε το τηλέφωνο. Επιβεβαιώστε ότι η διαμόρφωση της εφαρμογής παραπέμπει στο προφίλ που δοκιμάζετε και όχι σε παλαιότερο αντίγραφό του, γιατί διπλά προφίλ με σχεδόν ίδια ονόματα είναι συνηθισμένα μετά από μετάβαση και η εφαρμογή δείχνει ευχαρίστως στο αποσυρμένο. Έπειτα επιβεβαιώστε ότι η διαμόρφωση έφτασε στη συσκευή: Ρυθμίσεις, Γενικά, VPN και διαχείριση συσκευής πρέπει να το δείχνουν ως εγκατεστημένο προφίλ. Η λίστα VPN εκεί δεν είναι η δοκιμή. Μια υπηρεσία ανά εφαρμογή συνήθως δεν έχει χειροκίνητο διακόπτη, οπότε μια σωστά αναπτυγμένη διαμόρφωση μπορεί να μην εμφανιστεί ποτέ στις VPN που μπορούν να ξεκινήσουν. Η απουσία φαίνεται στην εγγραφή της εφαρμογής και στο αν το τούνελ σηκώνεται στο πρώτο αίτημα της εφαρμογής.

Μια συνθήκη εξηγεί πολλά δελτία: αυτό το μοντέλο απαιτεί η εφαρμογή να φτάνει μέσω διαχείρισης. Ένα αντίγραφο που εγκαταστάθηκε από άλλη πηγή ή αγοράστηκε προσωπικά δεν παίρνει τη συσχέτιση, ακόμη και όταν το αναγνωριστικό πακέτου του ταιριάζει. Ο οδηγός ανάπτυξης της Apple για το VPN περιγράφει το μοντέλο προφίλ πίσω από αυτό (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).

Επιβεβαιώστε ότι η εγκατεστημένη εφαρμογή είναι το διαχειριζόμενο αντίγραφο

Η συσχέτιση ακολουθεί την εγκατεστημένη, διαχειριζόμενη εφαρμογή. Αν κάποιος την επανεγκατέστησε από το App Store με προσωπικό Apple ID, την αντικατέστησε με επαναϋπογεγραμμένη επιχειρηματική έκδοση, ή η συσκευή εγγράφηκε ξανά και η εφαρμογή επέστρεψε από άλλο κανάλι, το τούνελ μπορεί να μείνει κάτω ενώ η εφαρμογή φαίνεται απόλυτα φυσιολογική.

Δοκιμάστε με σύγκριση, όχι με μία μόνο παρατήρηση. Στο απόθεμα διαχείρισης, η εφαρμογή πρέπει να εμφανίζεται ως διαχειριζόμενη για εκείνη τη συσκευή με την αντιστοίχιση VPN στην εγγραφή της. Στο τηλέφωνο, το τούνελ πρέπει να σηκώνεται όταν εκκινεί η εφαρμογή και βγαίνει το πρώτο της αίτημα, όχι μόνο όταν κάποιος ξεκινά ξεχωριστή χειροκίνητη διαμόρφωση στις Ρυθμίσεις. Αν η εκκίνηση της εφαρμογής δεν αλλάζει τίποτα και η χειροκίνητη διαμόρφωση αλλάζει, η εφαρμογή δεν είναι καθόλου δεσμευμένη σε τούνελ ανά εφαρμογή.

Οι ενημερώσεις μετρούν: όποια σπρώχνεται μέσω διαχείρισης διατηρεί την αντιστοίχιση, ενώ μια επανεγκατάσταση που ξεκινά ο χρήστης μπορεί να την χάσει. Όταν το παράπονο χρονολογείται από ενημέρωση, ελέγξτε την εγγραφή της εφαρμογής πριν από το δίκτυο.

Ελέγξτε τι επιτρέπεται να πάρει το τούνελ

Ένα τούνελ ανά εφαρμογή επιλέγεται από την εφαρμογή προέλευσης, άρα η προεπιλεγμένη διαδρομή του τηλεφώνου ανήκει ακόμη στο Wi-Fi ή στο κυψελωτό. Το OverridePrimary είναι το κλειδί που το αλλάζει. Όταν ένα προφίλ το ορίζει, το τούνελ συμπεριφέρεται σαν πλήρες τούνελ και κάθε εφαρμογή το κληρονομεί, οπότε όλα μέσω VPN γίνονται ζήτημα προφίλ και όχι αποτυχία εφαρμογής.

Οι κανόνες κατά ζήτηση αποφασίζουν την επιμονή. Το OnDemandEnabled και το σύνολο κανόνων του κάνουν το τούνελ να επιστρέφει όταν η εφαρμογή στέλνει κίνηση, να επιβιώνει σε αλλαγή από Wi-Fi σε κυψελωτό ή να πέφτει μόλις η εφαρμογή πάει στο παρασκήνιο. Μια ανάπτυξη που συνδέεται και μετά πεθαίνει ήσυχα έχει συνήθως κανόνα που ταιριάζει μόνο με έναν ανιχνευτή που δεν ενεργοποιείται ποτέ όσο η εφαρμογή μένει αδρανής.

Έπειτα διαβάστε έντιμα την πλευρά των διαδρομών. Αν ένα προφίλ παρόχου ή προμηθευτή δίνει λίστα συμπερίληψης, ένα τούνελ που μεταφέρει μόνο 10.20.0.0/16 δεν θα μεταφέρει υπηρεσία στο 10.30.0.0/16· η λίστα κάνει τη δουλειά της, όχι αποτυχία ανά εφαρμογή. Το ενσωματωμένο προφίλ iOS δεν έχει λίστα συμπερίληψης. Χωρίς αυτήν, ο διαχωρισμός ακολουθεί τις προεπιλογές του παρόχου και το IncludeAllNetworks, όχι μια κρυφή λίστα.

Δοκιμάστε την εφαρμογή και μετά τι φεύγει από αυτήν

Δοκιμάστε με όνομα, όχι μόνο με διεύθυνση. Η επίλυση ενός εσωτερικού κεντρικού υπολογιστή μέσα στη διαχειριζόμενη εφαρμογή αποδεικνύει ότι και το DNS πέρασε από το τούνελ, γιατί το προφίλ αποφασίζει ποιος resolver απαντά και ποιοι τομείς αναζήτησης εφαρμόζονται. Η δρομολόγηση μπορεί να είναι τέλεια ενώ η αναζήτηση ονόματος αποτυγχάνει, και τα δύο συμπτώματα δείχνουν διαφορετικές ρυθμίσεις.

Έπειτα δοκιμάστε το όριο και από τις δύο πλευρές. Μια προσωπική εφαρμογή ή το Safari πρέπει να φτάνει σε μια συνηθισμένη δημόσια σελίδα και να αναφέρει τη διεύθυνση του παρόχου ή του σπιτιού, ενώ η διαχειριζόμενη εφαρμογή φτάνει στην ιδιωτική υπηρεσία. Αν και οι δύο αναφέρουν την ίδια δημόσια διεύθυνση, το τούνελ δεν είναι πια ανά εφαρμογή, ότι κι αν ισχυρίζεται η εγγραφή της εφαρμογής.

Οι ροές που φεύγουν από την εφαρμογή παράγουν τα μπερδεμένα δελτία. Ένας σύνδεσμος που ανοίγει στο Safari, ένα έγγραφο που περνά μέσω του φύλλου κοινής χρήσης, ή μια σύνδεση SSO που περνά σε πρόγραμμα περιήγησης φεύγει από τη διεργασία της εφαρμογής και μαζί της το τούνελ. Μια σύνδεση που αποδίδεται μέσα στην εφαρμογή συνήθως αποδίδεται στην εφαρμογή, οπότε μια ενσωματωμένη σύνδεση μπορεί να πετύχει εκεί όπου η ίδια URL αποτυγχάνει στο Safari· επαληθεύστε το αντί να το υποθέσετε. Όταν ο πάροχος ταυτότητας είναι προσβάσιμος μόνο μέσω του τούνελ, είτε κρατήστε τη σύνδεση μέσα στην εφαρμογή είτε προσθέστε τον τομέα του παρόχου στους τομείς Safari του προφίλ ώστε να καταγράφεται η αντίστοιχη κίνηση Safari.

Αντιστοιχίστε το σύμπτωμα με το επίπεδο

Το σχήμα της αποτυχίας σας λέει ποιον έλεγχο να επαναλάβετε.

Πίσω από τις μεσαίες γραμμές στέκονται δύο λεπτομέρειες: ένα τούνελ ανά εφαρμογή μπορεί να είναι υγιές και παρ' όλα αυτά να χάνει ένα υποδίκτυο που καμία λίστα παρόχου δεν περιλαμβάνει, και ένα διαχειριζόμενο τηλέφωνο μπορεί να κρατά περισσότερες από μία διαμορφώσεις VPN, οπότε επιβεβαιώστε σε ποια είναι δεσμευμένη η εφαρμογή αντί να υποθέσετε ότι είναι αυτή που διαβάζετε.

Διορθώστε με αυτή τη σειρά: διορθώστε την εγγραφή της εφαρμογής ώστε να παραπέμπει στο ενεργό προφίλ, επανεγκαταστήστε την εφαρμογή μέσω διαχείρισης, επιβεβαιώστε ότι το τούνελ σηκώνεται στο πρώτο αίτημα της εφαρμογής και επαναλάβετε τις δοκιμές ονόματος και ορίου. Αν το πρώτο αίτημα δεν μπορεί καθόλου να ξεκινήσει τούνελ, σταματήστε και ελέγξτε την πλευρά του παρόχου, γιατί ένας προσαρμοσμένος πελάτης χρειάζεται το Network Extension παρόν με αναγνωριστικό που ταιριάζει στην εγκατεστημένη εφαρμογή.

Επιστρέψτε τρία γεγονότα αντί για στιγμιότυπο οθόνης: σε ποιο προφίλ παραπέμπει η εγγραφή της εφαρμογής, αν οι Ρυθμίσεις το δείχνουν ως εγκατεστημένο προφίλ, και ποιο ήταν το αίτημα που απέτυχε, ένα όνομα, μια διεύθυνση ή μια μετάβαση σε πρόγραμμα περιήγησης. Αυτές οι τρεις απαντήσεις χωρίζουν ένα λάθος ανάπτυξης από ένα λάθος δρομολόγησης, και ο επόμενος μπορεί να δράσει χωρίς να επαναλάβει τη διάγνωση.