iPhone’i rakendus ei leia VPN-i sisselülitamisel kohalikke seadmeid
Kaks väravat otsustavad, kas iPhone’i rakendus jõuab VPN-i kaudu printeri või telerini: Kohaliku võrgu luba ja tunneli enda marsruudid. Kontrolli neid järjekorras.
Printerirakendus näitab tühja loendit, kaamerarakendus teatab, et seadet ei leitud, ja videorakenduse edastusnupp keerleb, kuni annab alla. VPN-i ikoon on olekuribal, telefonil on täislevi ja Safari laeb lehti probleemideta, nii et ühendusega ei tundu midagi valesti olevat. Siis avad rakenduse enda seaded ega leia midagi lülitada.
Põrkasin täpselt selle seina otsa siltprinteriga koduvõrgus: rakendusele ei olnud kunagi antud juurdepääsu kohtvõrgule ja profiil, mida ma testisin, oli täistunnel, mis neelas iga 192.168.1.0/24 suunatud paketi. Kaks sõltumatut väravat olid suletud ja ühe avamine ei oleks sümptomit kõrvaldanud.
Kaks väravat ühe rakenduse ja ühe printeri vahel
Esimene värav on privaatsusotsus, mis kuulub operatsioonisüsteemile, mitte rakendusele. iOS otsustab, kas rakendus tohib saata liiklust kohtvõrgu aadressidele, ja küsib kasutajalt rakenduse esimesel katsel. Teine värav on marsruutimistabel. Aadressile 192.168.1.50 suunatud pakett kas lahkub telefoni Wi-Fi kaudu printeri poole või siseneb tunnelisse, ja see valik on VPN-profiilis kirjas.
Kaks väravat nurjuvad erineval moel ja just see teeb diagnoosi võimalikuks. Keelatud luba tapab rakenduse enda socket-kutse, nii et rakendusel pole midagi teatada ja see vajub üldisesse tühjasse olekusse. Marsruutimisprobleem näeb välja nagu aegumine, sest paketid lahkusid telefonist ja surid kuskil teisel pool. Sama tühi ekraan, erinev parandus.
Loe loa olekut enne, kui VPN-i puudutad
Ava Seaded, seejärel Privaatsus ja turvalisus, seejärel Kohalik võrk. Iga rakendus, mis on juurdepääsu palunud, kuvatakse seal lülitiga. Apple on osi sellest ekraanist iOS-i 14 ja iOS-i 18 vahel liigutanud ja ümber nimetanud, nii et kui kirje pole seal, kus ootad, trüki Kohalik võrk seadete otsinguvälja, selle asemel et puud läbi otsida.
Inimesi püüab ühekordne küsimus. iOS küsib siis, kui rakendus puudutab kohalikku võrku esimest korda, ja ainult siis. Puuduta Ära luba ja küsimus ei naase järgmisel käivitamisel; lüliti on ainus tee tagasi ja see on algselt väljas. Rakenduse uuesti paigaldamine lähtestab otsuse, mistõttu mõned tõrkeotsingu lõimed väidavad, et uuesti paigaldamine parandas avastamise. Parandaski, keelu kustutamisega.
Järelevalvega või hallatud iPhone’is on lüliti mõnikord hall. MDM-i kaudu saadetud privaatsuseelistuste kasulik koormus võib kohaliku võrgu juurdepääsu eelseadistada või lukustada, ja lukustatud väljas lüliti tähendab, et parandus on poliitika muutmine, mitte telefoni muutmine. Apple dokumenteerib küsimuse ja rakendusepõhise lüliti siin: support.apple.com/en-us/102229.
Kontrolli, mida tunnel tegelikult marsruudib
Täistunnel võtab 0.0.0.0/0 ja koos sellega iga privaatse vahemiku. Paketid aadressidele 10.x, 172.16.0.0/12 ja 192.168.x.x rändavad serverisse, mis tavaliselt viskab need ära või tõlgib oma alavõrku, nii et printer jääb kättesaamatuks ka pärast loa andmist. Jagatud tunnel teeb vastupidist, kuid ainult vahemikele, mille profiil loetleb.
Apple Configuratoriga loodud või .mobileconfig-failina tarnitud IKEv2-profiilid väljendavad seda kogu liikluse saatmise seadena pluss jagatud režiimis selgesõnalise nimekirjana välistatavatest kohalikest võrkudest. NEPacketTunnelProvideril põhinevad kliendirakendused väljendavad sama otsust includedRoutesi kaudu. Kumbki pole olekuribalt nähtav, ja mõlemad tühistavad selle, mida rakendus ootab näha.
See on test, mida kasutan. Kui VPN on ühendatud, ava ruuteri haldusleht selle LAN-aadressil Safaris. Kui avalikud saidid laadivad, samal ajal kui see leht aegub, on sinu privaatne vahemik tunneli sees. Kui leht laeb, väljub kohalik liiklus endiselt Wi-Fi kaudu ja blokeering on mujal.
Seo sümptom väravaga
Kaks rakendust samas telefonis võivad olla eriarvamusel, sest luba antakse rakenduse ja marsruudid profiili kaupa. Võrdle, mis nurjub, enne kui midagi muudetakse: muster nimetab värava tavaliselt ise.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
mDNS-i rida väärib märkust. Bonjouri ja enamiku edastusprotokollide avastusliiklus läheb multicastina aadressidele 224.0.0.251 ja ff02::fb lokaalse lingi ulatuses ja marsruuditud tunnel ei kanna seda. Seetõttu võib seade vastata otseühendusele, ilmumata kunagi loendisse.
Testi toimingut, mitte ikooni
Kui oled Kohaliku võrgu lüliti ümber lülitanud, sunni rakendus rakenduste valijast sulguma ja käivita see uuesti. Töötav protsess võib hoida enne muudatust kehtinud keelatud olekut, ja rakendus, mis jätkab tühja loendi tagastamist, näeb sama välja olenemata sellest, kas luba toimis. Seejärel tee üks konkreetne toiming, näiteks prindi testleht või käivita video, selle asemel et oodata seadmete loendi täitumist.
Hoia VPN-profiil kogu võrdluse ajal muutumatuna. Kui avastamine hakkab tööle alles pärast lahtiühendamist, õppisid, et süüdi on tunnel, mitte luba. Muuda katse kohta üht muutujat, muidu ei ütle järgmine käivitus sulle midagi.
Paranda selles järjekorras
Allolev järjekord on see, mida nüüd järgin, sest see ei jäta telefoni kunagi pooleldi muudetud olekusse, kus järgmine test on loetamatu.
- Kontrolli, et rakendus on loetletud jaotises Privaatsus ja turvalisus, Kohalik võrk, ja et selle lüliti on sees.
- Sunni rakendus sulguma, käivita see uuesti ja korda tegelikku toimingut üks kord.
- Ava ruuteri leht LAN-aadressil, kui oled ühendatud, et tõestada, kas privaatne vahemik läheb tunnelisse.
- Kui läheb, muuda profiili, et kohalikud võrgud välja jätta, või palu profiili omanikul seda teha.
- Kui lüliti on hall, käsitle seadet hallatuna ja edasta taotlus administraatorile.
Tavaliselt kehtib ainult üks. Kui ükski tulemust ei muuda, on allesjäänud kahtlusalused võrk ise, näiteks juurdepääsupunkti isolatsioon või Wi-Fi-aadressidega seotud kliendilubade loend, ja ülalolev vastavustabel näitab, milline.