iPhone-VPN verkkotunnuksittain: päätä, missä hylkäys tapahtuu
NeverConnect estää VPN:n käynnistymisen; se ei estä verkkosivustoa. Päätä, kuuluuko hylkäys palvelun rajalle vai hallittuun käytäntöön.
Kaksi vaatimusta kirjoitetaan yhdeksi lauseeksi ja toteutetaan sitten täysin eri paikoissa. Tämä sivusto saa olla saatavilla vain VPN:n kautta on väite päästämisestä, ja sen luonnollinen koti on palvelun edessä oleva verkko. Tämän iPhonen ei koskaan pidä ottaa yhteyttä kyseiseen verkkotunnukseen suoraan on väite laitteesta, ja vain hallittu asiakaskäytäntö voi ilmaista sen. Päätä, kumpi sinulla todella on, ennen kuin avaat profiilieditorin.
Kaksi vaatimusta, jotka kuulostavat samalta
Ota esimerkkipalvelin records.corp.example. Päästämistapauksessa julkaiset sen vain VPN:n takana oleviin osoitteisiin, joten matkapuhelinverkossa olevan puhelimen suora yritys epäonnistuu verkossa, kun taas sama pyyntö tunnelin kautta onnistuu ja vaatii silti todellisen tilille kirjautumisen. Laitetapauksessa puhelin voi päästä julkiseen internetiin, joten palvelin ratkeaa ja vastaa kaikille, ja ainoa paikka pysäyttää yritys on laite. Palvelu ei voi valvoa sääntöä pyynnölle, joka ei koskaan saavu sille.
Vaatimuksen väärinluku näkyy tiettynä käyttöönottona. Tietue on edelleen julkinen, operaattori uskoo VPN:n olevan pakollinen, ja matkapuhelinyrityksen auditointi osoittaa, ettei pyyntö koskaan tullut tunneliin. Lokiin katsottuna mikään ei näytä rikki, koska mitään ei estetty.
Lue arviointitoiminnot kirjaimellisesti
Kysynnän mukaan toimivassa koneistossa on kaksi erillistä toimintokerrosta, ja niiden sekoittaminen aiheuttaa suurimman osan tämän hetken sekaannuksesta. Ulomman säännön toiminto päättää, mitä tunnelille tapahtuu, kun sääntö täsmää, ja yhteyden arvioinnin toiminto päättää, mitä isäntänimen täsmäytykselle tapahtuu arviointisäännön sisällä. Applen Never Connect -viite kuvaa vain toista kerrosta.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect on arvo, joka luetaan useimmin väärin, koska nimi vihjaa estoon. Se ohjaa tunnelin käynnistämistä täsmäävälle isäntänimelle, ei puhelimen lupaa saavuttaa nimeä, joten Never Connect -merkintä ei ole verkkotunnuksen esto. Sen niin kutsuminen suunnitteluasiakirjassa on tapa hyväksyä käyttöönotto valvontarajalla, jota sillä ei ole.
Kun palvelu on sinun, valvo rajalla
Päästämisen rajoittaminen tarkoittaa nimen julkaisemista vain sinne, minne VPN-polku voi sen saavuttaa, ja sitten testaamista, että aiottu polku toimii eikä toinen polku toimi. Kata jokainen julkaistu tietue, molemmat osoiteperheet jos julkaiset ne, ja mikä tahansa välittävä tai vaihtoehtoinen nimi, jota sovellus käyttää. Vanha CNAME, joka osoittaa edelleen julkiseen kuormantasapainottimeen, pitää suoran polun elossa riippumatta siitä, kuinka siisti päätietue on.
Tämä suojaa palvelua laitteen sijaan. Se ei estä puhelinta lähettämästä DNS-kyselyä eikä estä sovellusta yrittämästä. Jos nuo yritykset ovat hyväksyttäviä, rajalla valvonta on halvempi ja kestävämpi valinta, koska se pätee jokaiseen asiakkaaseen eikä vain niihin, jotka määritit. Se kestää myös puhelimen, jota ei koskaan rekisteröity.
Kun puhelin ei saa edes yrittää, tarvitset hallitun käytännön
Yrityksen pysäyttäminen vaatii tuetun valvontakäytännön, joka kattaa sovelluksen tai kohteet ennen yhteyttä, tunnelin vian aikana ja verkon muutoksen jälkeen. Pyydä VPN- tai laitehallintapalvelun tarjoajaa nimeämään tämä käytäntö, sanomaan vaatiiko se organisaation hallintaa ja kuvaamaan mitä muuta se vaikuttaa. Sovelluskohtainen tunneli plus kysynnän mukaan sääntö eivät ole sama asia, eikä aloitusnäytön pikakuvake yhteyteen ole sitä myöskään.
Testaa vikatapaus poistamalla tunneli käytöstä ja tarkkailemalla lähteekö pyyntö ulos. Jos lähtee, dokumentoimasi raja ei ole se raja, jonka otit käyttöön.
Päätä kolmella kysymyksellä
Ensinnäkin, hallitsetko palvelua vai vain puhelinta? Toiseksi, saako laite käyttää laillisesti julkista internetiä kaikkeen muuhun? Kolmanneksi, onko puhelin hallittu, ja kenen toimesta? Palvelun omistaminen plus hallittu laitekanta tarkoittaa, että kumpi tahansa kerros on käytettävissä, kun taas vain puhelimen omistaminen tekee asiakaskäytännöstä ainoan vaihtoehdon ja sen on oltava tuettu.
Vastaa noihin kolmeen ennen kuin kosket profiilia. Silloin kokoonpano lakkaa olemasta arvaus siitä, mitä Never-niminen valintaruutu tarkoittaa.