VPN por dominio en iPhone: decida dónde ocurre el rechazo
NeverConnect impide que la VPN arranque; no bloquea un sitio web. Decida si el rechazo pertenece al límite del servicio o a una política gestionada.
Dos requisitos se escriben como una sola frase y luego se implementan en lugares completamente distintos. «Este sitio solo debe ser accesible a través de la VPN» es una afirmación sobre la admisión, y su hogar natural es la red frente al servicio. «Este iPhone nunca debe contactar directamente con ese dominio» es una afirmación sobre el dispositivo, y solo una política de cliente gestionada puede expresarla. Decida cuál tiene realmente antes de abrir un editor de perfiles.
Dos requisitos que suenan idénticos
Tome el host ilustrativo records.corp.example. En el caso de admisión lo publica solo en direcciones detrás de la VPN, de modo que un intento directo desde un teléfono en red celular falla en la red, mientras que la misma solicitud a través del túnel tiene éxito y aún exige un inicio de sesión real en la cuenta. En el caso del dispositivo el teléfono puede alcanzar internet público, así que el host se resuelve y responde a cualquiera, y el único lugar para detener el intento es el dispositivo. El servicio no puede aplicar una regla sobre una solicitud que nunca le llega.
La mala lectura del requisito se manifiesta como un despliegue concreto. El registro sigue siendo público, el operador cree que la VPN es obligatoria, y una auditoría de un intento celular muestra que la solicitud nunca entró en el túnel. Nada en los registros parece roto, porque no se bloqueó nada.
Lea las acciones de evaluación al pie de la letra
La maquinaria bajo demanda tiene dos capas distintas de acciones, y confundirlas produce la mayor parte de la confusión aquí. La acción de regla externa decide qué ocurre con el túnel cuando la regla coincide, y la acción de evaluación de conexión decide qué ocurre con una coincidencia de nombre de host dentro de una regla de evaluación. La referencia Never Connect de Apple solo describe la segunda capa.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect es el valor que se lee mal con más frecuencia, porque el nombre sugiere un bloqueo. Gobierna el arranque del túnel para un nombre de host coincidente, no el permiso del teléfono para alcanzar un nombre, así que una entrada Never Connect no es un bloqueo de dominio. Etiquetarla así en un documento de diseño es como se aprueba un despliegue con un límite de aplicación que no tiene.
Cuando el servicio es suyo, aplique en el límite
Restringir la admisión significa publicar el nombre solo donde la ruta de la VPN puede alcanzarlo, y luego probar que la ruta prevista funciona y otra ruta no. Cubra cada registro publicado, ambas familias de direcciones si las publica, y cualquier nombre intermedio o alternativo que use la aplicación. Un CNAME antiguo que aún apunta a un balanceador de carga público mantiene viva la ruta directa por muy ordenado que esté el registro principal.
Esto protege el servicio en lugar del dispositivo. No impide que el teléfono envíe una consulta DNS, ni impide que la aplicación lo intente. Si esos intentos son aceptables, la aplicación en el límite es la opción más barata y duradera, porque vale para todos los clientes y no solo para los que configuró. También sobrevive a un teléfono que nunca se inscribió.
Cuando el teléfono no debe ni intentarlo, necesita una política gestionada
Detener el intento requiere una política de aplicación compatible que cubra la aplicación o los destinos antes de la conexión, durante un fallo del túnel y después de un cambio de red. Pida al proveedor de VPN o de gestión de dispositivos que nombre esa política, diga si requiere gestión organizativa y describa qué más afecta. Un túnel por aplicación más una regla bajo demanda no es lo mismo, y un acceso directo en la pantalla de inicio a una conexión tampoco.
Pruebe el caso de fallo desactivando el túnel y observando si la solicitud sale. Si sale, el límite que documentó no es el límite que desplegó.
Decida con tres preguntas
Primero, ¿controla el servicio o solo el teléfono? Segundo, ¿puede el dispositivo usar legítimamente internet público para todo lo demás? Tercero, ¿el teléfono está gestionado, y por quién? Poseer el servicio más una flota gestionada significa que cualquiera de las dos capas está disponible, mientras que poseer solo el teléfono convierte la política de cliente en la única opción y esta debe estar soportada.
Responda esas tres antes de tocar un perfil. Entonces la configuración deja de ser una conjetura sobre qué significa una casilla llamada Never.