iPhone-sovellus ei löydä paikallisia laitteita, kun VPN on päällä
Kaksi porttia ratkaisee, yltääkö iPhone-sovellus tulostimeen tai televisioon VPN:n yli: Paikallisverkko-lupa ja tunnelin omat reitit. Tarkista ne järjestyksessä.
Tulostimesi sovellus näyttää tyhjän luettelon, kamerasovellus ilmoittaa, ettei laitetta löytynyt, ja videosovelluksen lähetyspainike pyörii, kunnes se luovuttaa. VPN-kuvake on tilarivillä, puhelimessa on täysi kenttä ja Safari lataa sivut ongelmitta, joten yhteydessä ei näytä olevan mitään rikki. Sitten avaat sovelluksen omat asetukset etkä löydä mitään kytkettävää.
Törmäsin täsmälleen tähän seinään etikettitulostimen kanssa kotiverkossa: sovellukselle ei ollut koskaan myönnetty pääsyä lähiverkkoon, ja testaamani profiili oli täysi tunneli, joka nieli jokaisen osoitteeseen 192.168.1.0/24 matkaavan paketin. Kaksi riippumatonta porttia oli kiinni, eikä yhden avaaminen olisi poistanut oiretta.
Kaksi porttia yhden sovelluksen ja yhden tulostimen välissä
Ensimmäinen portti on käyttöjärjestelmälle kuuluva yksityisyyspäätös, ei sovellukselle. iOS päättää, saako sovellus lähettää liikennettä lähiverkon osoitteisiin, ja kysyy käyttäjältä sovelluksen ensimmäisellä yrityksellä. Toinen portti on reititystaulu. Osoitteeseen 192.168.1.50 menevä paketti joko lähtee Wi-Fin kautta tulostinta kohti tai menee tunneliin, ja tämä valinta on kirjoitettu VPN-profiiliin.
Kaksi porttia pettää eri tavoin, ja juuri se tekee diagnoosin mahdolliseksi. Hylätty lupa tappaa sovelluksen oman socket-kutsun, joten sovelluksella ei ole mitään ilmoitettavaa ja se putoaa yleiseen tyhjään tilaan. Reititysongelma näyttää aikakatkaisulta, koska paketit lähtivät puhelimesta ja kuolivat jonnekin toiselle puolelle. Sama tyhjä näyttö, eri korjaus.
Lue luvan tila ennen kuin kosket VPN:ään
Avaa Asetukset, sitten Tietosuoja ja turvallisuus, sitten Paikallisverkko. Jokainen pääsyä pyytänyt sovellus näkyy siellä kytkimellä. Apple on siirtänyt ja nimennyt uudelleen osia tästä näytöstä iOS 14:n ja iOS 18:n välillä, joten jos merkintä ei ole siellä missä odotat, kirjoita Paikallisverkko asetusten hakukenttään sen sijaan että koluaisit puuta läpi.
Ihmisiä nappaa kertaluonteinen kysely. iOS kysyy, kun sovellus koskettaa lähiverkkoa ensimmäisen kerran, ja vain silloin. Napauta Älä salli, niin kysely ei palaa seuraavalla käynnistyksellä; kytkin on ainoa tie takaisin, ja se on aluksi pois päältä. Sovelluksen uudelleenasennus nollaa päätöksen, minkä vuoksi jotkin vianetsintäketjut väittävät uudelleenasennuksen korjanneen löydön. Korjasikin, poistamalla hylkäyksen.
Valvotussa tai hallinnoidussa iPhonessa kytkin on joskus harmaa. MDM:n lähettämä tietosuoja-asetusten hyötykuorma voi esiasettaa tai lukita lähiverkon pääsyn, ja lukittu kytkin, joka on pois päältä, tarkoittaa, että korjaus on käytännön muutos eikä puhelimen muutos. Apple dokumentoi kyselyn ja sovelluskohtaisen kytkimen täällä: support.apple.com/en-us/102229.
Tarkista, mitä tunneli todella reitittää
Täysi tunneli ottaa 0.0.0.0/0:n ja mukanaan jokaisen yksityisen alueen. Paketit osoitteisiin 10.x, 172.16.0.0/12 ja 192.168.x.x matkaavat palvelimelle, joka yleensä pudottaa ne tai kääntää ne omaan aliverkkoonsa, joten tulostin on tavoittamaton, vaikka luvan antaisi. Jaettu tunneli tekee päinvastoin, mutta vain niille alueille, jotka profiili luettelee.
Apple Configuratorilla rakennetut tai .mobileconfig-tiedostona toimitetut IKEv2-profiilit ilmaisevat tämän lähetä kaikki liikenne -asetuksena ja jaetussa tilassa lisäksi nimenomaisena luettelona poissuljettavista lähiverkoista. NEPacketTunnelProviderin päälle rakennetut asiakassovellukset ilmaisevat saman päätöksen includedRoutesin kautta. Kumpikaan ei näy tilariviltä, ja molemmat ohittavat sen, mitä sovellus odottaa näkevänsä.
Tämä on testi, jota käytän. Kun VPN on yhdistetty, avaa reitittimen hallintasivu sen LAN-osoitteella Safarissa. Jos julkiset sivustot latautuvat, kun tuo sivu aikakatkaisee, yksityinen alueesi on tunnelin sisällä. Jos sivu latautuu, paikallinen liikenne lähtee yhä Wi-Fin kautta ja esto on jossain muualla.
Yhdistä oire porttiin
Kaksi sovellusta samassa puhelimessa voivat olla eri mieltä, koska lupa myönnetään sovelluskohtaisesti ja reitit profiilikohtaisesti. Vertaa, mikä epäonnistuu, ennen kuin muutat mitään: kuvio nimeää portin yleensä itse.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
mDNS-rivi ansaitsee huomautuksen. Bonjourin ja useimpien lähetysprotokollien löytöliikenne lähtee multicastina osoitteisiin 224.0.0.251 ja ff02::fb link-local-laajuudella, eikä reititetty tunneli kuljeta sitä. Siksi laite voi vastata suoraan yhteyteen koskaan ilmestymättä luetteloon.
Testaa toimintoa, älä kuvaketta
Kun olet kytkenyt Paikallisverkko-kytkimen, pakota sovellus sulkeutumaan sovellusvalitsimesta ja käynnistä se uudelleen. Käynnissä oleva prosessi voi pitää yllä hylättyä tilaa ennen muutosta, ja sovellus, joka palauttaa yhä tyhjän luettelon, näyttää samalta riippumatta siitä, toimiko lupa. Suorita sitten yksi konkreettinen toiminto, kuten testisivun tulostus tai videon käynnistys, sen sijaan että odottaisit laiteluettelon täyttymistä.
Pidä VPN-profiili muuttumattomana vertailun ajan. Jos löytö alkaa toimia vasta yhteyden katkaisemisen jälkeen, opit, että syyllinen on tunneli eikä lupa. Muuta yhtä muuttujaa kerrallaan, muuten seuraava ajo ei kerro sinulle mitään.
Korjaa tässä järjestyksessä
Alla oleva järjestys on se, jota nykyään noudatan, koska se ei koskaan jätä puhelinta puoliksi muutettuun tilaan, jossa seuraava testi on lukukelvoton.
- Varmista, että sovellus on kohdassa Tietosuoja ja turvallisuus, Paikallisverkko, ja että sen kytkin on päällä.
- Pakota sovellus sulkeutumaan, käynnistä se uudelleen ja yritä varsinaista toimintoa kerran.
- Avaa reitittimen sivu LAN-osoitteella yhteyden ollessa päällä, jotta voit todistaa, kulkeeko yksityinen alue tunnelin kautta.
- Jos kulkee, muokkaa profiilia niin, että lähiverkot jätetään pois, tai pyydä profiilin omistajaa tekemään se.
- Jos kytkin on harmaa, käsittele laitetta hallinnoituna ja välitä pyyntö ylläpitäjälle.
Yleensä vain yksi niistä pätee. Jos mikään ei muuta tulosta, jäljellä olevat epäillyt ovat verkko itse, kuten tukiaseman eristys tai Wi-Fi-osoitteisiin sidottu asiakaslupa, ja yllä oleva kartoitustaulu osoittaa, mikä.