iPhone VPN laŭ domajno: decidu, kie okazas la rifuzo
NeverConnect malhelpas la VPN ekfunkcii; ĝi ne blokas retejon. Decidu, ĉu la rifuzo apartenas al la serva limo aŭ al administrata politiko.
Du postuloj estas skribitaj kiel unu frazo kaj poste realigitaj en tute malsamaj lokoj. «Ĉi tiu retejo devas esti atingebla nur per la VPN» estas aserto pri akcepto, kaj ĝia natura hejmo estas la reto antaŭ la servo. «Ĉi tiu iPhone neniam rajtas rekte kontakti tiun domajnon» estas aserto pri la aparato, kaj nur administrata klienta politiko povas esprimi ĝin. Decidu, kiun vi efektive havas, antaŭ ol malfermi profilan redaktilon.
Du postuloj, kiuj sonas idente
Prenu la ilustran gastiganton records.corp.example. En la akcepta kazo vi publikigas ĝin nur al adresoj malantaŭ la VPN, do rekta provo de telefono en ĉela reto malsukcesas ĉe la reto, dum la sama peto tra la tunelo sukcesas kaj ankoraŭ postulas veran kontan ensaluton. En la aparata kazo la telefono povas atingi la publikan interreton, do la gastiganto solviĝas kaj respondas al ĉiuj, kaj la sola loko por haltigi la provon estas la aparato. La servo ne povas plenumi regulon pri peto, kiu neniam atingas ĝin.
Mislegado de la postulo montriĝas kiel specifa deplojo. La rikordo restas publika, la operatoro kredas ke la VPN estas deviga, kaj revizio de ĉela provo montras ke la peto neniam eniris la tunelon. Nenio en la protokoloj aspektas rompita, ĉar nenio estis blokita.
Legu la taksajn agojn laŭlitere
La laŭposta maŝinaro havas du apartajn tavolojn de agoj, kaj ilia kunfandiĝo kaŭzas la plej multan konfuzon ĉi tie. La ago de la ekstera regulo decidas, kio okazas al la tunelo kiam la regulo kongruas, kaj la ago de konekta taksado decidas, kio okazas al gastigantnoma kongruo ene de taksa regulo. La Never Connect-referenco de Apple priskribas nur la duan tavolon.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect estas la valoro plej ofte mislegata, ĉar la nomo sugestas blokadon. Ĝi regas la ekigon de la tunelo por kongrua gastigantnomo, ne la permeson de la telefono atingi nomon, do Never Connect-enskribo ne estas domajna blokado. Nomigi ĝin tiel en dezajna dokumento estas la maniero aprobi deplojon kun plenumlimo, kiun ĝi ne havas.
Kiam vi posedas la servon, plenumu ĉe la limo
Limigi akcepton signifas publikigi la nomon nur tie, kie la VPN-vojo povas atingi ĝin, kaj poste testi ke la celita vojo funkcias kaj alia vojo ne. Kovru ĉiun publikigitan rikordon, ambaŭ adresajn familiojn se vi publikigas ilin, kaj ajnan interan aŭ alternan nomon uzatan de la aplikaĵo. Malnova CNAME ankoraŭ montranta al publika ŝarĝbalancilo tenas la rektan vojon viva, kiom ajn ordema la ĉefa rikordo estas.
Ĉi tio protektas la servon anstataŭ la aparaton. Ĝi ne malhelpas la telefonon sendi DNS-demandon, kaj ĝi ne malhelpas la aplikaĵon provi. Se tiuj provoj estas akcepteblaj, plenumo ĉe la limo estas la pli malmultekosta kaj pli daŭra elekto, ĉar ĝi validas por ĉiu kliento anstataŭ nur por tiuj, kiujn vi agordis. Ĝi ankaŭ postvivas telefonon, kiu neniam estis registrita.
Kiam la telefono eĉ ne rajtas provi, vi bezonas administrata politikon
Haltigi la provon postulas subtenatan plenuman politikon, kiu kovras la aplikaĵon aŭ cellokojn antaŭ konekto, dum tunela malsukceso kaj post reta ŝanĝo. Petu la VPN- aŭ aparatadministran provizanton nomi tiun politikon, diri ĉu ĝi postulas organizan administradon, kaj priskribi kion alian ĝi influas. Tunelo laŭ aplikaĵo plus laŭposta regulo ne estas la sama afero, kaj nek estas hejma ekranŝparvojo al konekto.
Testu la malsukcesan kazon malŝaltante la tunelon kaj observante ĉu la peto eliras. Se ĝi eliras, la limo, kiun vi dokumentis, ne estas la limo, kiun vi deplojis.
Decidu per tri demandoj
Unue, ĉu vi regas la servon aŭ nur la telefonon? Due, ĉu la aparato rajtas laŭleĝe uzi la publikan interreton por ĉio alia? Trie, ĉu la telefono estas administrata, kaj de kiu? Posedi la servon plus administrata aparataro signifas ke ajna tavolo disponeblas, dum posedi nur la telefonon faras la klientan politikon la sola opcio kaj ĝi devas esti subtenata.
Respondu tiujn tri antaŭ ol tuŝi profilon. Tiam la agordo ĉesas esti konjekto pri tio, kion signifas markobutono nomata Never.