Rakendusepõhine VPN hallatavates iPhone'i rakendustes: mida suunatakse ja mida mitte
Rakendusepõhine tunnel järgib hallatavat rakendust, mitte telefoni. Kontrollige profiili seost, hallatavat koopiat, nõudmisel käivitamise reegleid ja rakendusest väljuvaid vooge.
Rakendusepõhine VPN ei ole iPhone'is kogu telefoni hõlmav lüliti. See on seos ühe hallatava rakenduse ja ühe VPN-profiili vahel, mis luuakse rakenduse juurutamisel, ja kõige muu liiklus säilitab varasema marsruudi. Seetõttu käitub sama telefon ebajärjekindlalt: töörakendus avab privaatse lehe, samal ajal kui Safari ei pääse samale hostile, või tunnel ei tõuse üldse ja rakendus teatab ajalõpust, mis näeb välja nagu halvad mandaadid. Kontrollid kulgevad kõige laiemast põhjusest allapoole, seega peatuge esimesel, mis ebaõnnestub.
Kõigepealt kontrollige profiili ja rakenduse kirjet
Seos elab kahes objektis, mitte ühes. VPN-profiil määratleb tunnelitüübi, serveri, autentimise, DNS-i ja teenusepakkuja komplekti identifikaatori, kui kasutatakse kohandatud klienti. Rakenduse kirje osutab sellele profiilile ja enamik halduskonsoole pakub seda rakenduse konfiguratsioonis rakendusepõhise valikuna, nimega Per-App VPN lähedal. Profiil, millele ükski rakendus ei osuta, ei suuna rakendusepõhiselt midagi; see käitub nagu tavaline tunnel, mille keegi peab käsitsi käivitama.
Lugege mõlemat objekti enne telefoni puudutamist. Kinnitage, et rakenduse konfiguratsioon viitab profiilile, mida testite, mitte selle vanemale koopiale, sest migratsiooni järel on tavalised peaaegu samanimelised duplikaatprofiilid ja rakendus osutab hea meelega kõrvaldatule. Seejärel kinnitage, et konfiguratsioon jõudis seadmesse: Seaded, Üldine, VPN ja seadmehaldus peavad näitama seda paigaldatud profiilina. Sealne VPN-loend ei ole test. Rakendusepõhisel teenusel tavaliselt käsitsi lülitit ei ole, seega korrektselt juurutatud konfiguratsioon ei pruugi kunagi käivitatavate VPN-ide hulgas ilmuda. Puudumine on näha rakenduse kirjes ja selles, kas tunnel tõuseb rakenduse esimese päringu peale.
Üks tingimus selgitab palju pileteid: see mudel nõuab, et rakendus tuleks halduse kaudu. Kõrvale paigaldatud või isiklikult ostetud koopia ei saa seost, isegi kui selle komplekti identifikaator kattub. Apple'i VPN-i juurutamisjuhend kirjeldab selle taga olevat profiilimudelit (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).
Kinnitage, et paigaldatud rakendus on hallatav koopia
Seos järgib paigaldatud, hallatavat rakendust. Kui keegi paigaldas selle App Store'ist isikliku Apple ID-ga uuesti, asendas selle ümbersigneeritud ettevõtteversiooniga või seade registreeriti uuesti ja rakendus tuli tagasi teise kanali kaudu, võib tunnel maas püsida, samal ajal kui rakendus ise näeb täiesti tavaline välja.
Testige võrdlemisega, mitte ühe vaatlusega. Haldusinventaris peaks rakendus olema selle seadme jaoks hallatavana kirjas koos VPN-i vastendusega. Telefonis peaks tunnel tõusma rakenduse käivitamisel ja selle esimese päringu väljumisel, mitte ainult siis, kui keegi käivitab Seadetes eraldi käsitsi konfiguratsiooni. Kui rakenduse käivitamine ei muuda midagi ja see käsitsi konfiguratsioon muudab, ei ole rakendus üldse rakendusepõhise tunneliga seotud.
Värskendused loevad: halduse kaudu saadetud värskendus säilitab vastenduse, samas kui kasutaja algatatud uuesti paigaldamine võib selle kaotada. Kui kaebus pärineb värskendusest, kontrollige rakenduse kirjet enne võrku.
Kontrollige, mida tunnelil on lubatud võtta
Rakendusepõhine tunnel valitakse lähtarakenduse järgi, seega telefoni vaikemarsruut kuulub endiselt Wi-Fi-le või mobiilivõrgule. OverridePrimary on võti, mis seda muudab. Kui profiil selle seab, käitub tunnel täieliku tunnelina ja iga rakendus pärib selle, nii et kõik VPN-i kaudu muutub profiiliküsimuseks, mitte rakenduse tõrkeks.
Nõudmisel käivitamise reeglid otsustavad püsivuse. OnDemandEnabled koos oma reeglistikuga paneb tunneli tagasi tulema, kui rakendus saadab liiklust, üle elama Wi-Fi-lt mobiilivõrgule üleminekut või langema, kui rakendus läheb taustale. Juurutus, mis ühendub ja siis vaikselt sureb, omab tavaliselt reeglit, mis sobib ainult sondiga, mis ei käivitu kunagi, kui rakendus on jõude.
Seejärel lugege marsruudipoolt ausalt. Kui teenusepakkuja või müüja profiil annab kaasamise loendi, ei kanna ainult 10.20.0.0/16 kandev tunnel teenust aadressil 10.30.0.0/16; see on loend, mis teeb oma tööd, mitte rakendusepõhine tõrge. Sisseehitatud iOS-i profiilil kaasamise loendit ei ole. Ilma selleta järgib jaotus teenusepakkuja vaikeväärtusi ja IncludeAllNetworksi, mitte peidetud loendit.
Testige rakendust ja seejärel seda, mis sealt väljub
Testige nimega, mitte ainult aadressiga. Sisemise hosti lahendamine hallatava rakenduse sees tõestab, et ka DNS läbis tunneli, sest profiil otsustab, milline resolver vastab ja milliseid otsingudomeene rakendatakse. Marsruutimine võib olla täiuslik, samal ajal kui nimeotsing ebaõnnestub, ja kaks sümptomit osutavad erinevatele seadetele.
Seejärel testige piiri mõlemalt poolt. Isiklik rakendus või Safari peaks jõudma tavalisele avalikule lehele ja teatama operaatori või kodu aadressi, samal ajal kui hallatav rakendus jõuab privaatsesse teenusesse. Kui mõlemad teatavad sama avalikku aadressi, ei ole tunnel enam rakendusepõhine, mida iganes rakenduse kirje väidab.
Rakendusest väljuvad vood tekitavad segadusse ajavad piletid. Safari's avanev link, jagamisakna kaudu edastatud dokument või SSO-sisselogimine, mis läheb üle brauserisse, väljub rakenduse protsessist ja tunnel sellega kaasa. Rakenduse sees kuvatav sisselogimine omistatakse tavaliselt rakendusele, seega võib manustatud sisselogimine õnnestuda seal, kus sama URL Safari's ebaõnnestub; kontrollige seda, mitte ärge eeldage. Kui identiteedipakkuja on kättesaadav ainult tunneli kaudu, hoidke sisselogimine kas rakenduse sees või lisage pakkuja domeen profiili Safari domeenidesse, et sobiv Safari liiklus tabataks.
Sobitage sümptom kihiga
Tõrke kuju ütleb, millist kontrolli korrata.
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
Keskmiste ridade taga on kaks detaili: rakendusepõhine tunnel võib olla terve ja ikkagi jätta vahele alamvõrgu, mida ükski teenusepakkuja loend ei sisalda, ja hallatav telefon võib hoida rohkem kui ühte VPN-konfiguratsiooni, seega kinnitage, millisega rakendus on seotud, mitte ärge eeldage, et see on see, mida loete.
Parandage selles järjekorras: parandage rakenduse kirje, et see viitaks aktiivsele profiilile, paigaldage rakendus halduse kaudu uuesti, kinnitage, et tunnel tõuseb rakenduse esimese päringu peale, seejärel korrake nime- ja piiriteste. Kui esimene päring ei suuda üldse tunnelit käivitada, peatuge ja kontrollige teenusepakkuja poolt, sest kohandatud klient vajab oma Network Extensionit olemasolevana ja identifikaatorit, mis vastab paigaldatud rakendusele.
Andke kolm fakti ekraanipildi asemel: millisele profiilile rakenduse kirje viitab, kas Seaded näitavad seda paigaldatud profiilina ja milline päring ebaõnnestus, nimi, aadress või üleminek brauserisse. Need kolm vastust eristavad juurutamisvea marsruutimisveast ja järgmine inimene saab tegutseda diagnoosi kordamata.