Δύο VPN σε iPhone ταυτόχρονα: ποιο μεταφέρει την κίνησή σας;

Δύο εφαρμογές VPN εμφανίζουν και οι δύο Connected, και η παραδοχή είναι ότι η κίνηση περνά τώρα από τις δύο, η μία μέσα στην άλλη. Συνήθως δεν συμβαίνει αυτό. Το iOS έχει συγκεκριμένο μοντέλο συνύπαρξης, και δεν είναι αλυσίδα. Μία κλάση ρύθμισης περιορίζεται σε ένα μόνο ενεργοποιημένο στιγμιότυπο, η άλλη μπορεί να λειτουργεί δίπλα της, και η προτεραιότητα διαδρομών αποφασίζει τις συγκρούσεις. Δύο αναμμένοι διακόπτες δεν είναι δύο άλματα. Το μοντέλο είναι τεκμηριωμένο, δηλαδή η διαδρομή μπορεί να προβλεφθεί αντί να μαντευτεί από τα εικονίδια.

Μύθος: δύο συνδεδεμένα VPN είναι αλυσίδα

Μια αλυσίδα δύο αλμάτων χρειάζεται καθορισμένη εξωτερική μεταφορά, καθορισμένο εσωτερικό τούνελ, συμβατή δρομολόγηση άκρων και σχέδιο για το τι συμβαίνει όταν αποτύχει ένα από τα δύο. Δύο ανεξάρτητες ρυθμίσεις δεν το δημιουργούν απλώς επειδή υπάρχουν ταυτόχρονα. Η προτεραιότητα διαδρομής δεν είναι το ίδιο με την ενθυλάκωση, και το ότι μία ρύθμιση κερδίζει μια αναζήτηση διαδρομής δεν λέει τίποτα για το αν η άλλη μεταφέρει τα πακέτα που προκύπτουν.

Αν χρειάζεστε εμφώλευση, σχεδιάστε την ως εμφώλευση. Μην τη συμπεραίνετε από δύο ενδείξεις σύνδεσης. Αυτή η διάκριση εξοικονομεί πολλή αποσφαλμάτωση.

Το τεκμηριωμένο μοντέλο πίσω από αυτόν τον μύθο

Το NETunnelProviderManager της Apple περιγράφει συνήθεις ρυθμίσεις VPN επιχείρησης και δηλώνει ότι μόνο μία τέτοιας κατηγορίας μπορεί να είναι ενεργοποιημένη κάθε φορά. Η ίδια αναφορά επιτρέπει σε ένα Personal VPN να παραμένει ενεργοποιημένο και συνδεδεμένο δίπλα του, και δίνει προτεραιότητα στις διαδρομές της επιχείρησης όπου οι δύο επικαλύπτονται.

Εδώ το Personal VPN είναι ο όρος του API για την ενσωματωμένη υλοποίηση IPsec ή IKEv2 που διαχειρίζεται το NEVPNManager. Το NETunnelProviderManager είναι το μοντέλο παρόχου τούνελ. Μια καταναλωτική εφαρμογή μπορεί να χρησιμοποιεί το μοντέλο παρόχου, οπότε ένα όνομα προϊόντος που περιέχει personal δεν το κατατάσσει.

Η Apple τεκμηριώνει έναν επιτρεπόμενο συνδυασμό, και η άδεια δεν σας λέει ότι τα προφίλ δύο προμηθευτών είναι συμβατά, γι’ αυτό ρωτήστε κάθε προμηθευτή ποιο ζεύγος υποστηρίζεται. Οι τύποι ρυθμίσεων, οι διαδρομές και οι πολιτικές τους εξακολουθούν να καθορίζουν το αποτέλεσμα.

Μύθος: το προσωπικό VPN παίρνει την κίνηση περιήγησης

Ένα προφίλ εργασίας που διεκδικεί κάθε προορισμό θα κερδίσει την αναζήτηση διαδρομής και για την κοινή περιήγηση, οπότε η προσωπική έξοδος δεν μεταφέρει τίποτα από αυτήν. Σύμφωνα με την τεκμηριωμένη προτεραιότητα, οι διαδρομές της επιχείρησης κερδίζουν όπου συγκρούονται, οπότε η κοινή περιήγηση δεν παίρνει αυτόματα την προσωπική έξοδο μόνο επειδή και εκείνη η εφαρμογή αναφέρει σύνδεση. Μια στενότερη ρύθμιση εργασίας μπορεί να αλλάξει την εικόνα δρομολόγησης, αλλά ο πελάτης του οργανισμού μπορεί ακόμη να επιβάλει απαιτήσεις DNS, αποκλεισμού ή συσκευής. Ζητήστε τη υποστηριζόμενη διευθέτηση από τον ιδιοκτήτη της αντί να επεξεργάζεστε αυτές τις απαιτήσεις τοπικά.

Οι διαχειριζόμενες ρυθμίσεις ανά εφαρμογή έχουν δικό τους πεδίο. Μην επεκτείνετε έναν κανόνα επιπέδου συσκευής σε κάθε διαχειριζόμενη ανάπτυξη.

Γράψτε τις δύο ροές πριν από τη δοκιμή: το ιδιωτικό όνομα και το εύρος της υπηρεσίας εργασίας, και ένα νέο αίτημα κοινής περιήγησης. Και οι δύο είναι νόμιμες, και χρειάζονται διαφορετικούς ελέγχους.

Προτεραιότητα διαδρομών με προφίλ εργασίας διαχωρισμένου τούνελ

Ένα προφίλ εργασίας με διαχωρισμένο τούνελ διεκδικεί τα ιδιωτικά προθέματα και το εσωτερικό επίθημα DNS που παραθέτει, και αυτές οι διαδρομές κερδίζουν κάθε αναζήτηση που ταιριάζει με αυτά. Οι κοινές προορισμοί που δεν ταιριάζουν με καμία διαδρομή επιχείρησης πέφτουν στη φυσική ζεύξη, εκτός αν το προσωπικό VPN τις διεκδικήσει πρώτο. Ο κανόνας προτεραιότητας αποφασίζει μόνο τις επικαλυπτόμενες αντιστοιχίσεις, γι’ αυτό τα δύο προφίλ πρέπει να διαβάζονται ως πίνακες διαδρομών και όχι ως εικονίδια.

Γράψτε το ζεύγος ως δύο γραμμές και ονομάστε τον αναμενόμενο νικητή για καθεμία: ένα όνομα κεντρικού υπολογιστή εργασίας που επιλύεται σε 10.x ή 172.16.x θα πρέπει να βγαίνει από το τούνελ της επιχείρησης, και μια κοινή διεύθυνση χωρίς αντίστοιχο πρόθεμα θα πρέπει να παίρνει όποια προεπιλεγμένη διαδρομή απομένει. Αν και οι δύο γραμμές ονομάζουν την ίδια έξοδο, ο διαχωρισμός δεν κάνει αυτό που περιγράφει η τεκμηρίωση.

Γράψτε δύο ροές και ελέγξτε καθεμία

Για κάθε ροή, καταγράψτε ποια εγκεκριμένη ρύθμιση πρέπει να τη μεταφέρει και ποιος επιλυτής πρέπει να λαμβάνει κάθε είδος ονόματος. Στη συνέχεια επαληθεύστε με νέα αιτήματα, όχι με μια προσωρινά αποθηκευμένη σελίδα εργασίας ή ένα παλιό αποτέλεσμα IP.

Σταματήστε μία ρύθμιση και επαναλάβετε και τις δύο ροές. Η συμπεριφορά αποτυχίας είναι μέρος του σχεδιασμού, και είναι το μέρος που παρατηρούν οι χρήστες. Όταν οι δύο πάροχοι δεν μπορούν να υποστηρίξουν τον συνδυασμό, καταλήξτε σε μία εγκεκριμένη ρύθμιση και τεκμηριώστε ποια ροή μεταφέρει, ή περάστε σε διαχειριζόμενο σχέδιο ενός τούνελ. Η τεκμηρίωση του NETunnelProviderManager είναι η πηγή για τον κανόνα συνύπαρξης.