Always On VPN در برابر VPN On Demand روی iPhone: کدام را پیاده کنیم

دو iPhone می‌توانند هر دو بگویند VPN و کاملاً متفاوت رفتار کنند. On Demand با انطباق یک قاعده تونل باز می‌کند و کاربر همچنان می‌تواند آن را در تنظیمات خاموش کند. Always On مدیریت‌شده پوشش را روی دستگاه تحت نظارت الزامی نگه می‌دارد، حتی در لحظاتی که تونل بالا نمی‌آید. با پرسیدن اینکه وقتی کاربر کاری نمی‌کند چه چیزی باید درست باشد انتخاب کنید، و سپس گذارها را بیازمایید نه حالت پایدار را. گام‌های زیر به همان ترتیبی است که یک پیاده‌سازی واقعاً شکست می‌خورد.

گام 1: مشخص کنید دستگاه چه چیزی را می‌تواند الزام کند

Always On ویژگی دستگاه‌های تحت نظارت است. اگر ناوگان تحت نظارت نباشد، بحث پیش از آغاز تمام است و هیچ کلید payload تلفن بدون نظارت را الزامی نمی‌کند. نظارت را از سمت مدیریت و از خود دستگاه تأیید کنید، سپس تأیید کنید چه کسی پروفایل را امضا کرده است.

روی تلفن: تنظیمات، سپس عمومی، سپس VPN و مدیریت دستگاه. مدخل پروفایل مالک خود را نام می‌برد و پروفایل شخصی که دستی نصب شده با پروفایلی که سرویس مدیریت تحویل داده فرق دارد. الزام را از نام پروفایل یا برچسب بازاریابی ارائه‌دهنده استنباط نکنید؛ برچسب سیاست پلتفرم نیست.

پیش از دست زدن به پیکربندی سه واقعیت را بنویسید: تحت نظارت یا نه، پروفایل مدیریت‌شده یا شخصی، و کدام کلاینت تونل را حمل می‌کند. هر گام بعدی به این سه وابسته است و انتقال رفتار از تلفن شخصی به پروفایل مدیریت‌شده همان راهی است که پیاده‌سازی در برابر مبنای اشتباه تأیید می‌شود.

گام 2: قواعد on-demand را بخوانید نه نام ویژگی را

On Demand فهرستی از قواعد است که به ترتیب ارزیابی می‌شوند. هر قاعده یک کنش و شرایطی که آن را انتخاب می‌کند نام می‌برد و شرایط بخش جالب است: نوع رابط، SSID وای‌فای، پسوند دامنه DNS یا یک URL کاوش. مجموعه قواعدی که هرگز منطبق نمی‌شود ویژگی‌ای است که هرگز وصل نمی‌شود.

<key>OnDemandRules</key>
<array>
  <dict>
    <key>Action</key><string>EvaluateConnection</string>
    <key>InterfaceTypeMatch</key><string>WiFi</string>
    <key>SSIDMatch</key><array><string>Office-WiFi</string></array>
  </dict>
</array>

کل آرایه را بخوانید و برای هر قاعده دو پرسش بکنید: آیا این شرط هرگز روی این ناوگان درست می‌شود، و وقتی هیچ قاعده‌ای منطبق نشود چه می‌شود؟ شبکه‌های سازمانی نقاط دسترسی را تغییر نام می‌دهند، SSIDها را ادغام می‌کنند و پسوندهای DNS را عوض می‌کنند، و هر یک از این ویرایش‌ها قاعده‌ای را بی‌صدا از واقعیت جدا می‌کند.

شرط پسوند DNS بیشتر از همه در میدان اشتباه است، چون پسوندی که تلفن در شبکه مهمان گزارش می‌کند همان نیست که حل‌کننده سازمانی سرو می‌کند. پیش از اعتماد به قاعده، نامی را که دستگاه واقعاً حل می‌کند بررسی کنید.

گام 3: گذارها را بیازمایید نه اتصال ایستا را

تونلی که هنگام نگاه شما بالاست چیز کمی را اثبات می‌کند. هر گذار را عامدانه اجرا کنید و ثبت کنید دستگاه چه می‌کند، هر بار همان منبع خصوصی را به کار ببرید تا نتایج قابل مقایسه باشند:

• به شبکه‌ای بپیوندید که قاعده‌ای باید در آن منطبق شود، سپس منبع خصوصی را بخواهید و تأیید کنید که بارگذاری می‌شود.
• با برنامه در پس‌زمینه به شبکه همراه بروید، سپس آن را به پیش‌زمینه آورید و درخواست را تکرار کنید.
• به وای‌فای با درگاه اسیر وصل شوید و ببینید درگاه در دسترس است یا الزام پیش از احراز هویت آن را مسدود می‌کند.
• تونل را روی دستگاه تحت نظارت دستی خاموش کنید و بررسی کنید آیا خودش برمی‌گردد و چقدر سریع.

همان فهرست را روی دستگاه بدون نظارت اجرا کنید اگر دارید. تفاوت دو نتیجه رفتار واقعی پیاده‌سازی است و همان بخشی است که عکس یک تونل متصل هرگز نشان نمی‌دهد.

گام 4: دو شکل شکست را بشناسید

پوشش الزامی با مسدود کردن شکست می‌خورد. وقتی تونل برقرار نمی‌شود دستگاه دسترسی عادی به اینترنت را همراه منابع خصوصی از دست می‌دهد و کاربر تلفنی را تجربه می‌کند که آنلاین است ولی نمی‌تواند مرور کند. اتصال دوباره و مسدودسازی دو مشاهده جداگانه‌اند، پس هر دو را ثبت کنید نه اینکه نبود اینترنت را یک نشانه بدانید.

On Demand با فعال نشدن شکست می‌خورد. قاعده منطبق نمی‌شود، تونلی ظاهر نمی‌شود و منبع خصوصی فقط مهلت می‌گذراند. تشخیص نادرست آن به‌عنوان مشکل سرور آسان است، چون کلاینت دقیقاً همان‌گونه که پیکربندی شده رفتار می‌کند.

درگاه اسیر میان این دو است: پیش از وجود تونل به اتصال نیاز دارد، پس سیاستی که همه چیز را تا بالا آمدن تونل مسدود می‌کند به مسیر مستندشده از درگاه نیاز دارد. این را در طراحی تصمیم بگیرید نه در میز پشتیبانی.

گام 5: بررسی کنید و سپس بازگشت را تمرین کنید

بررسی روی مسیر واقعی با ترافیک بی‌خطر انجام می‌شود: منبع خصوصی‌ای بخواهید که نباید عمومی باشد، تأیید کنید دستگاه چه نشانی به بیرون ارائه می‌دهد و پس از راه‌اندازی دوباره تکرار کنید تا توالی شروع را دیده باشید نه فقط حالت گرم.

سپس حذف را روی دستگاه آزمایشی تمرین کنید پیش از آنکه در تولید لازم شود. حذف پروفایل دستگاه را به وضعیت پیشین برمی‌گرداند و دانستن اینکه چقدر طول می‌کشد و کاربر چه می‌بیند بخشی از runbook است. راهنمای امنیت VPN اپل مرجع آن چیزی است که پلتفرم درباره این سیاست‌ها مستند می‌کند و ارزش خواندن دارد پیش از نوشتن پیکربندی‌ای که بیش از پلتفرم ادعا کند.

سه واقعیت گام یک را کنار مجموعه قواعد و نتایج آزمون نگه دارید. وقتی نفر بعدی بپرسد چرا تلفنی در یک شبکه وصل می‌شود و در دیگری نه، این یادداشت‌ها در یک دقیقه پاسخ می‌دهند نه با بازسازی.