iPhone'i VPN domeeni kaupa: otsustage, kus keeldumine toimub
NeverConnect takistab VPN-i käivitumist; see ei blokeeri veebisaiti. Otsustage, kas keeldumine kuulub teenuse piirile või hallatavasse poliitikasse.
Kaks nõuet kirjutatakse ühe lausena ja seejärel rakendatakse täiesti erinevates kohtades. „See sait peab olema kättesaadav ainult VPN-i kaudu“ on väide lubamise kohta ja selle loomulik kodu on teenuse ees olev võrk. „See iPhone ei tohi kunagi selle domeeniga otse ühendust võtta“ on väide seadme kohta ja seda saab väljendada ainult hallatav kliendipoliitika. Otsustage, milline neist teil tegelikult on, enne kui profiiliredaktori avate.
Kaks nõuet, mis kõlavad ühtemoodi
Võtke näidikhost records.corp.example. Lubamise korral avaldate selle ainult VPN-i taga olevatele aadressidele, nii et mobiilivõrgus oleva telefoni otsene katse ebaõnnestub võrgus, samal ajal kui sama päring tunnelist õnnestub ja nõuab endiselt tõelist kontole sisselogimist. Seadme korral võib telefon jõuda avalikku internetti, nii et host lahendatakse ja vastab kõigile, ning ainus koht katse peatamiseks on seade. Teenus ei saa kehtestada reeglit päringule, mis ei jõua kunagi temani.
Nõude vale lugemine ilmneb konkreetse juurutamisena. Kirje on endiselt avalik, operaator usub, et VPN on kohustuslik, ja mobiilikatse audit näitab, et päring ei sisenenud kunagi tunnelisse. Logides ei tundu miski katki olevat, sest midagi ei blokeeritud.
Lugege hindamistoiminguid sõna-sõnalt
Nõudmisel töötaval mehhanismil on kaks eraldi toimingukihti ja nende segamine tekitab siin suurema osa segadusest. Välimise reegli toiming otsustab, mis tunneliga juhtub, kui reegel sobib, ja ühenduse hindamise toiming otsustab, mis juhtub hostinime sobivusega hindamisreegli sees. Apple'i Never Connect viide kirjeldab ainult teist kihti.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect on väärtus, mida loetakse kõige sagedamini valesti, sest nimi viitab blokeeringule. See juhib tunneli käivitamist sobiva hostinime jaoks, mitte telefoni luba nimele jõuda, seega Never Connect kirje ei ole domeeni blokeering. Selle nii nimetamine projekteerimisdokumendis on viis, kuidas juurutamine kinnitatakse jõustamispiiriga, mida sellel ei ole.
Kui teenus kuulub teile, jõustage piiril
Lubamise piiramine tähendab nime avaldamist ainult seal, kuhu VPN-i tee jõuab, ja seejärel testimist, et kavandatud tee töötab ja teine tee mitte. Katke iga avaldatud kirje, mõlemad aadressiperekonnad, kui neid avaldate, ja mis tahes vahe- või alternatiivne nimi, mida rakendus kasutab. Vana CNAME, mis osutab endiselt avalikule koormusjaoturile, hoiab otsese tee elus, ükskõik kui korras põhikirje on.
See kaitseb teenust, mitte seadet. See ei takista telefonil DNS-päringut saatmast ega takista rakendusel proovimast. Kui need katsed on vastuvõetavad, on piiril jõustamine odavam ja vastupidavam valik, sest see kehtib iga kliendi kohta, mitte ainult nende kohta, mille te konfigureerisite. See elab üle ka telefoni, mida kunagi ei registreeritud.
Kui telefon ei tohi isegi proovida, vajate hallatavat poliitikat
Katse peatamine nõuab toetatud jõustamispoliitikat, mis katab rakenduse või sihtkohad enne ühendust, tunneli rikke ajal ja pärast võrgu muutust. Paluge VPN-i või seadmehalduse pakkujal see poliitika nimetada, öelda, kas see nõuab organisatsioonilist haldust, ja kirjeldada, mida veel see mõjutab. Rakendusepõhine tunnel pluss nõudmisel reegel ei ole sama asi, ja avakuvatõmmis ühendusele samuti mitte.
Testige rikkejuhtumit, keelates tunneli ja jälgides, kas päring väljub. Kui väljub, ei ole dokumenteeritud piir see piir, mille juurutasite.
Otsustage kolme küsimusega
Esiteks, kas kontrollite teenust või ainult telefoni? Teiseks, kas seade tohib seaduslikult kasutada avalikku internetti kõige muu jaoks? Kolmandaks, kas telefon on hallatav ja kelle poolt? Teenuse omamine pluss hallatav seadmepark tähendab, et kumbki kiht on saadaval, samas kui ainult telefoni omamine teeb kliendipoliitika ainsaks valikuks ja see peab olema toetatud.
Vastake nendele kolmele enne, kui profiili puudutate. Siis lakkab konfiguratsioon olemast oletus selle kohta, mida tähendab märkeruut nimega Never.