VPN آیفون بر اساس دامنه: تصمیم بگیرید رد در کجا رخ می‌دهد
NeverConnect مانع شروع VPN می‌شود؛ وب‌سایت را مسدود نمی‌کند. تصمیم بگیرید رد متعلق به مرز سرویس است یا به یک سیاست مدیریت‌شده.
دو نیازمندی در یک جمله نوشته می‌شوند و سپس در مکان‌های کاملاً متفاوت پیاده‌سازی می‌شوند. «این سایت باید فقط از طریق VPN در دسترس باشد» بیانیه‌ای درباره پذیرش است و خانه طبیعی آن شبکه‌ای پیش از سرویس است. «این آیفون هرگز نباید مستقیماً با آن دامنه تماس بگیرد» بیانیه‌ای درباره دستگاه است و تنها یک سیاست مشتری مدیریت‌شده می‌تواند آن را بیان کند. پیش از باز کردن ویرایشگر پروفایل تصمیم بگیرید کدام‌یک را واقعاً دارید.
دو نیازمندی که یکسان به نظر می‌رسند
میزبان نمونه records.corp.example را در نظر بگیرید. در حالت پذیرش آن را فقط به نشانی‌های پشت VPN منتشر می‌کنید، بنابراین تلاش مستقیم از تلفنی در شبکه سلولی در شبکه شکست می‌خورد، در حالی که همان درخواست از طریق تونل موفق می‌شود و هنوز ورود واقعی به حساب را می‌طلبد. در حالت دستگاه تلفن می‌تواند به اینترنت عمومی برسد، بنابراین میزبان برای همه تفکیک و پاسخ داده می‌شود، و تنها جای متوقف کردن تلاش خود دستگاه است. سرویس نمی‌تواند قاعده‌ای را درباره درخواستی اعمال کند که هرگز به آن نمی‌رسد.
بدخوانی نیازمندی به‌صورت یک استقرار مشخص نمایان می‌شود. رکورد هنوز عمومی است، اپراتور باور دارد VPN اجباری است، و ممیزی یک تلاش سلولی نشان می‌دهد درخواست هرگز وارد تونل نشد. هیچ چیز در گزارش‌ها خراب به نظر نمی‌رسد، چون هیچ چیز مسدود نشد.
کنش‌های ارزیابی را تحت‌اللفظی بخوانید
ماشین‌آلات بر اساس تقاضا دو لایه متمایز از کنش‌ها دارد و درهم آمیختن آن‌ها بیشترین سردرگمی را اینجا ایجاد می‌کند. کنش قاعده بیرونی تصمیم می‌گیرد وقتی قاعده مطابقت دارد با تونل چه می‌شود، و کنش ارزیابی اتصال تصمیم می‌گیرد با تطابق نام میزبان درون یک قاعده ارزیابی چه می‌شود. مرجع Never Connect اپل تنها لایه دوم را توصیف می‌کند.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect مقداری است که بیشتر از همه بد خوانده می‌شود، چون نامش مسدودسازی را القا می‌کند. این مقدار شروع تونل را برای نام میزبان منطبق کنترل می‌کند، نه اجازه تلفن برای رسیدن به یک نام، بنابراین یک ورودی Never Connect مسدودسازی دامنه نیست. نامیدن آن به این شکل در یک سند طراحی همان راهی است که یک استقرار با مرز اجرایی که ندارد تأیید می‌شود.
وقتی سرویس از شماست، در مرز اعمال کنید
محدود کردن پذیرش یعنی انتشار نام فقط جایی که مسیر VPN می‌تواند به آن برسد، و سپس آزمودن اینکه مسیر مورد نظر کار می‌کند و مسیر دیگر نه. هر رکورد منتشرشده، هر دو خانواده نشانی اگر منتشر می‌کنید، و هر نام میانی یا جایگزینی که برنامه استفاده می‌کند را پوشش دهید. یک CNAME قدیمی که هنوز به یک متعادل‌کننده بار عمومی اشاره می‌کند مسیر مستقیم را زنده نگه می‌دارد، هر چقدر هم رکورد اصلی مرتب باشد.
این از سرویس محافظت می‌کند نه دستگاه. مانع فرستادن پرس‌وجوی DNS توسط تلفن نمی‌شود و مانع تلاش برنامه نمی‌شود. اگر آن تلاش‌ها پذیرفتنی باشند، اعمال در مرز گزینه ارزان‌تر و بادوام‌تر است، چون برای هر مشتری معتبر است نه فقط برای آن‌هایی که پیکربندی کرده‌اید. از تلفنی که هرگز ثبت‌نام نشده هم جان سالم به در می‌برد.
وقتی تلفن حتی نباید تلاش کند، به یک سیاست مدیریت‌شده نیاز دارید
متوقف کردن تلاش به یک سیاست اجرایی پشتیبانی‌شده نیاز دارد که برنامه یا مقصدها را پیش از اتصال، هنگام شکست تونل و پس از تغییر شبکه پوشش دهد. از ارائه‌دهنده VPN یا مدیریت دستگاه بخواهید آن سیاست را نام ببرد، بگوید آیا به مدیریت سازمانی نیاز دارد و توضیح دهد چه چیز دیگری را تحت تأثیر می‌گذارد. یک تونل به‌ازای هر برنامه به‌همراه یک قاعده بر اساس تقاضا یکسان نیست، و یک میان‌بر صفحه اصلی به یک اتصال هم نیست.
حالت شکست را با غیرفعال کردن تونل و مشاهده اینکه آیا درخواست بیرون می‌رود بیازمایید. اگر بیرون می‌رود، مرزی که مستند کرده‌اید همان مرزی نیست که مستقر کرده‌اید.
با سه پرسش تصمیم بگیرید
نخست، سرویس را کنترل می‌کنید یا فقط تلفن را؟ دوم، آیا دستگاه می‌تواند به‌طور مشروع از اینترنت عمومی برای همه چیز دیگر استفاده کند؟ سوم، آیا تلفن مدیریت‌شده است و توسط چه کسی؟ داشتن سرویس به‌همراه ناوگانی مدیریت‌شده یعنی هر لایه در دسترس است، در حالی که داشتن فقط تلفن سیاست مشتری را تنها گزینه می‌کند و آن باید پشتیبانی شود.
پیش از دست زدن به پروفایل به آن سه پاسخ دهید. آن‌گاه پیکربندی دیگر حدسی درباره معنای کادر تیک به نام Never نیست.