iPhone-VPN per domein: beslút wêr't de wegering bart
NeverConnect keart it starten fan de VPN; it blokkearret gjin website. Beslút oft de wegering by de tsjinstgrins heart of by in beheard belied.
Twa easken wurde as ien sin opskreaun en dêrnei op folslein ferskillende plakken útfierd. Dizze side mei allinnich fia de VPN berikber wêze is in útspraak oer talitting, en it natuerlike thús dêrfan is it netwurk foar de tsjinst. Dizze iPhone mei nea direkt kontakt meitsje mei dat domein is in útspraak oer it apparaat, en allinnich in beheard kliïntbelied kin it útdrukke. Beslút hokker fan beide jo eins hawwe foardat jo in profylbewurker iepenje.
Twa easken dy't itselde klinke
Nim de foarbyldhost records.corp.example. Yn it talittingsgefal publisearje jo it allinnich nei adressen efter de VPN, sadat in direkte poging fan in tillefoan op mobyl netwurk by it netwurk mislearret, wylst itselde fersyk troch de tunnel slagget en noch altyd in echte akkountoanmelding easket. Yn it apparaatgefal kin de tillefoan it iepenbiere ynternet berikke, sadat de host foar elkenien oplost en antwurdet, en it iennichste plak om de poging te stopjen is it apparaat. De tsjinst kin gjin regel hanthavenje oer in fersyk dat nea by har komt.
Ferkeard lêzen fan 'e eask docht bliken as in spesifike útrulling. It record is noch altyd iepenbier, de operator leaut dat de VPN ferplicht is, en in audit fan in mobyle poging lit sjen dat it fersyk nea de tunnel ynkaam. Neat yn 'e logboeken liket stikken, om't neat blokkearre waard.
Lês de evaluaasje-aksjes letterlik
It op-oanfraach-masjinery hat twa aparte lagen fan aksjes, en it trochinoar heljen fan dy beiden soarget foar it measte betizing hjir. De aksje fan 'e bûtenste regel beslút wat der mei de tunnel bart as de regel past, en de ferbiningsevaluaasje-aksje beslút wat der bart mei in hostnamematch yn in evaluaasjeregel. Apple's Never Connect-ferwizing beskriuwt allinnich de twadde laach.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect is de wearde dy't it meast ferkeard lêzen wurdt, om't de namme in blok suggerearret. It regelet it starten fan 'e tunnel foar in passende hostnamme, net de tastimming fan 'e tillefoan om in namme te berikken, dus in Never Connect-ynfier is gjin domeinblok. It sa neame yn in ûntwerpdokumint is hoe't in útrulling goedkard wurdt mei in hanthaveningsgrins dy't it net hat.
As jo de tsjinst besitte, hanthavenje by de grins
Talitting beheine betsjut de namme allinnich publisearje wêr't it VPN-paad der komme kin, en dan testen dat it bedoelde paad wurket en in oar paad net. Dek elke publisearre record, beide adresfamyljes as jo dy publisearje, en elke tusken- of alternatyf namme dy't de app brûkt. In âlde CNAME dy't noch nei in iepenbiere load balancer wiist, hâldt it direkte paad libben, hoe kreas it haadrecord ek is.
Dit beskermet de tsjinst yn plak fan it apparaat. It keart de tillefoan net fan it stjoeren fan in DNS-query, en it keart de app net fan besykjen. As dy pogingen akseptabel binne, is grinshanthavening de goedkeapere en duorsumere kar, om't it jildt foar elke kliïnt yn plak fan allinnich dy't jo konfigurearre hawwe. It oerlibbet ek in tillefoan dy't nea registrearre waard.
As de tillefoan net iens besykje mei, hawwe jo in beheard belied nedich
It stopjen fan 'e poging freget in stipe hanthaveningsbelied dat de app of bestimmingen dekt foar ferbining, tidens in tunnelstoaring en nei in netwurkferoaring. Freegje de VPN- as apparaatbehearprovider om dat belied te neamen, te sizzen oft it organisatoarysk behear freget, en te beskriuwen wat it noch mear beynfloedet. In tunnel per app plus in op-oanfraach-regel is net itselde ding, en in fluchtoets op it startskerm nei in ferbining ek net.
Test it stoaringsgefal troch de tunnel út te skeakeljen en te sjen oft it fersyk derút giet. As dat sa is, is de grins dy't jo dokumintearre hawwe net de grins dy't jo útrôle hawwe.
Beslút mei trije fragen
Earst, kontrolearje jo de tsjinst of allinnich de tillefoan? Twad, mei it apparaat legitimaal it iepenbiere ynternet brûke foar al it oare? Tred, is de tillefoan beheard, en troch wa? It besitten fan 'e tsjinst plus in behearde float betsjut dat ien fan beide lagen beskikber is, wylst it besitten fan allinnich de tillefoan it kliïntbelied de iennichste opsje makket en dat moat stipe wurde.
Beäntwurdzje dy trije foardat jo in profyl oanreage. Dan hâldt de konfiguraasje op in gis te wêzen oer wat in oanfinkje mei de namme Never betsjut.