Conas a spreagann rialacha fearainn Apple VPN On Demand tollán
Ní chinneann riail fearainn ach cathain a osclaítear an tollán. Conas a oibríonn an probe DNS connect-if-needed, cén fáth a roghnaíonn bealaí trácht fós agus conas an phróifíl a thástáil.
Osclaítear an tollán nuair a iarrann tú aon ainm inmheánach amháin agus fanann sé dúnta nuair a bhíonn an chéad aip eile ag teastáil chomh géar céanna. Ní fabht san aip é sin; is é cruth riail fearainn é. Cuireann cumraíocht on-demand Apple síos ar choinníollacha chun nasc a dhéanamh, agus fiafraíonn foirm fearainn na gcoinníollacha sin den réiteoir córais ceist sula n-aistrítear aon phaicéad amháin. Meascann dhá cheist go leanúnach: cathain ba chóir don tollán ardú, agus cad a iompraíonn an tollán nuair a bhíonn sé ann. Is truicear an chéad cheann, is polasaí bealaigh agus réiteora an dara ceann, agus socraíonn próifíl amháin an dá rud sa phayload céanna de ghnáth, agus sin an fáth ar féidir le riail fearainn cheart tú a fhágáil ar an líonra mícheart fós.
Tá an truicear agus roghnú tráchta ar chislaí éagsúla
Maíonn riail on-demand i bhfoclóir on-demand payload VPN: liosta ordaithe riail, gach ceann le gníomh agus sraith coinníollacha meaitseála. Déanann an córas iad a mheas nuair a athraíonn nascacht nó nuair a dhéanann rud éigin iarracht an líonra a bhaint amach, agus socraíonn an gníomh an bhfuil an tollán á ardú, á mheas, á dhícheangal nó á neamhaird. Tarlaíonn sé seo go léir i gciseal líonraithe an ardáin, sula mbíonn socket ag d’aip.
Is grúpa eochracha ar leithligh an méid a tharlaíonn ina dhiaidh sin: socruithe IPv4 agus IPv6 an tolláin, a bhealaí cuimsithe agus eisiata, a sheoltaí freastalaí DNS, agus ar iOS agus iPadOS an mhapáil in aghaidh an aip a shocraíonn cé na haipeanna a fhéadfaidh an tollán a úsáid ar chor ar bith. Is féidir le próifíl truicear leathan a phéireáil le bealach cúng, nó truicear cúng le bealach réamhshocraithe. Léigh leath amháin agus breathnóidh an leath eile cosúil le mífheidhm.
Coinním próifíl saotharlainne a nascann aon uair a iarrtar rud éigin faoi fhearann inmheánach ach nach ndéanann ach aon /16 amháin a ródú isteach sa tollán. Déanann sé go díreach a bhfuil ina payload, agus is é an cineál próifíle é freisin a ghineann ticéid: glacann daoine leis gur rud é tollán nasctha a chiallaíonn go bhfuil a dtrácht taobh istigh de.
Cad a fhiafraíonn riail fearainn den réiteoir i ndáiríre
Ní scrúdaíonn foirm fearainn na rialach, ar a dtugtar connect-if-needed go minic, payload paicéad ná ní fhéachann sé ar URLanna. Nuair a réitítear ainm, déanann an córas é a chur i gcomparáid le fearainn na rialach agus, ar mheaitseáil, fiafraíonn sé an féidir an t-ainm sin a réiteach trí na freastalaithe DNS a sholáthraíonn an tollán. Má fhreagraíonn réiteoir an tolláin, áirítear an t-ainm mar ainm inmheánach agus tosaítear an nasc. Má fhreagraíonn an réiteoir áitiúil ina ionad, caitear leis an ainm mar ainm seachtrach agus ní fheictear aon tollán. Déanann forbhreathnú imlonnaithe Apple cur síos orthu seo mar bhrath líonra agus ansin meastóireacht naisc.
Leanann dhá iarmhairt. Caithfidh an phróifíl freastalaithe DNS a ainmniú laistigh den tollán; níl aon rud le comparáid ag riail fearainn gan réiteoir tolláin, mar sin ní féidir leis an meastóireacht an mheaitseáil a bhfuil súil agat léi a tháirgeadh. Agus caithfidh an cuardach teacht ar réiteoir an chórais. Ní tháirgeann aip nó brabhsálaí a ritheann a DNS criptithe féin, síneadh a fhreagraíonn go háitiúil, nó nasc le seoladh litriúil riamh an réiteach ainm a raibh an riail ag fanacht leis. Tháinig deireadh le ceann de na tráthnónta is faide a chaith mé nuair a fuair mé amach go raibh an cliant os comhair an tolláin ag úsáid DNS over HTTPS.
Baineann caching an truicear freisin. Is féidir freagra a thabhairt ar ainm atá sa taisce cheana féin gan an probe a chuirfeadh tús leis an tollán, mar sin teipeann ar riail a d’oibrigh inné tar éis atosú, nó tar éis don tollán a bheith suas ar feadh tamaill. Ar macOS athshocraíonn sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder an staid; ar iOS tugann scoránaigh aerárthaigh a chur ar siúl agus a mhúchadh nó an gléas a atosú clár glan inchomparáide duit.
Raon meaitseála: ainmneacha, aipeanna agus líonraí
Is cineál amháin i measc roinnt cineálacha é meaitseáil fearainn. Is féidir le riail meaitseáil freisin leis an gcineál comhéadain (Wi-Fi, soghluaiste, Ethernet) agus SSID ar leith, agus ceanglaíonn iontrálacha in aghaidh an aip nó fearann Safari tollán le sreabhadh oibre amháin. Míníonn an ceangal sin an t-eispéireas aisteach ina n-iompraíonn aip amháin go difriúil ó gach rud eile: tá na haipeanna eile lasmuigh de raon an tolláin, mar sin leanann siad ag úsáid an chosáin áitiúil fiú nuair a deir deilbhín an tolláin go bhfuil sé nasctha.
Tá tábhacht níos mó leis an ord ná mar a mbíonn súil ag daoine. Déantar rialacha a mheas in ord agus soláthraíonn an chéad cheann a mheaitseálann an gníomh, mar sin beidh bua ciúin ag riail leathan nasc-ar-aon-Wi-Fi atá suite os cionn riail fhearaín chúng agus déanfaidh sí an riail fhearaín dosháraithe. Sula ndéanann tú an liosta fearainn a athscríobh, deimhnigh nár mheaitseáil aon riail roimhe seo cheana.
Sin an fáth nach bhfuil always-on díreach ina riail on-demand níos déine. Is modh imlonnaithe ar leith é forfheidhmiú always-on lena chuid riachtanas maoirseachta agus bainistíochta féin; coinníonn sé tollán oscailte in ionad freagairt d’ainm. Más tollán nach dtiteann choíche atá uait, is í an riail fhearaín an uirlis mhícheart.
Móid teipe a dhéanann aithris ar riail bhriste
Tagann formhór na dtuairiscí nach n-oibríonn riail fhearaín i gceann de chúig áit, agus ní hé ach an ceann deireanach acu téacs na rialach.
| What you see | Layer | First check |
|---|---|---|
| Tunnel comes up, internal site still fails | route or resolver after connect | netstat -rn, scutil --dns |
| Tunnel never comes up for that name | trigger path | fresh lookup, cache flush, private DNS |
| Tunnel comes up for every app | scope, or an earlier rule | rule order, per-app mapping |
| Tunnel drops and will not return on the same Wi-Fi | interface or SSID match, admission | captive portal, SSID string, auth prompt |
| Tunnel returns after you disconnect it | profile ownership | profiles show |
Tá a líne féin tuillte ag tairseacha captive, mar gheall go ndéanann Wi-Fi óstán agus aerfoirt idircheapadh ar an gcuardach go díreach a bhfuil an riail ag brath air. Go dtí go ligfidh an tairseach an gléas isteach, tá freastalaí DNS an tolláin doshroichte, teipeann ar an probe, agus breathnaíonn an teip cosúil le fearann atá litrithe go mícheart. Is é an fíordheimhniú an cás ciúin eile: féadfaidh an riail scoradh, féadfaidh an tollán tosú ag nascadh, agus faigheann an nasc bás ar theastas atá imithe in éag nó ar phrompta a thagann chun solais ar thaispeántas eile.
Cruthaíonn IPv6 leagan atá éasca a mhídhiagnóisiú. Is féidir freagra a thabhairt ar ainm a bhfuil an dá theaghlach seolta aige ó thaifead AAAA ar dtús, agus gan ach IPv4 á iompar ag liosta bealaí an tolláin. Éiríonn le brabhsálaí amháin, teipeann ar cheann eile, agus tá liosta na bhfearann go hiomlán neamhchiontach.
Tástáil le fíoriarraidh, san ord seo
Léigh an polasaí sula ndéanann tú buille faoi thuairim. Ar macOS priontálann sudo profiles show -type configuration próifílí suiteáilte lena n-áirítear payload VPN, taispeánann scutil --nc list staid na seirbhíse, agus priontálann scutil --nc show <service> an foclóir on-demand a úsáideann an córas. Ar iPhone nó iPad faoi mhaoirseacht tagann an payload céanna ón gconsól bainistíochta nó ó thuarascáil MDM. Tá logaí líonraithe ar fáil le log stream --predicate 'subsystem == "com.apple.networkextension"' ar macOS, agus trí chonsól an ghléis nuair a bhíonn an fón ceangailte.
Ansin tástáil le hainm óstaigh nár fiafraíodh roimhe seo sa seisiún. Roghnaigh ainm i gcrios DNS an tolláin a bhfuil a fhios agat a réitítear go hinmheánach, iarr é uair amháin, agus féach an bhfuil an tollán le feiceáil. Rith an cuardach céanna faoi dhó: cleachtann an dara hiarracht cosán an taisce, agus insíonn an difríocht idir an dá rud duit an é an réiteach nó an ródú an truicear.
Nuair a bhíonn an tollán suas, fíoraigh an dá chiseal ar leithligh. Taispeánann netstat -rn -f inet agus netstat -rn -f inet6 cá díríonn gach réimír, taispeánann scutil --dns ord na réiteoirí agus cén comhéadan a shealbhaíonn gach réiteoir, agus taispeánann nettop -m route cén comhéadan a d’iompair na bearta. Má tá an tollán suas agus an réiteoir ceart ach go dteipeann ar an acmhainn fós, stop ag cur an riail in eagar; seiceáil údarú thaobh an fhreastalaí agus an bealach fillte.
Nuair a bhaineann an riail le duine éigin eile
Má fheictear an tollán arís tar éis duit é a dhícheangal, is le próifíl seachas le haip a bhaineann an riail de ghnáth: cumraíocht a brúdh trí MDM, próifíl phearsanta fágtha, nó próifíl a shuiteáil cliant eile. Cúngóidh sudo profiles show -type configuration móide cuardach ar na heochracha on-demand é, agus is í an phróifíl an cosán bainte, ní an lasc sa bharra roghchláir. Fágann scriosadh iontráil na seirbhíse nó na haipe an riail ina diaidh, agus faigheann an chéad suiteáil eile í arís.
Socraíonn tástáil amháin an úinéireacht: dícheangail, fan, iarr an t-ainm inmheánach arís. Má fhilleann an tollán, tá an truicear ag obair mar a dearadh é agus is í an cheist oscailte cé a bhainistíonn é agus an é an raon sin an rud atá uait.
Sula ndéanann tú é seo a logáil mar fhabht, téigh tríd na cúig sheiceáil chéanna: seoltaí réiteora an tolláin i láthair sa payload, ainm nach raibh sa taisce, aon riail roimhe seo nár mheaitseáil cheana, cosán AAAA a chlúdaíonn liosta na mbealaí, agus an aip laistigh de raon an tolláin. Nuair a sheasann an cúigear go léir, tá an riail ag déanamh a cuid oibre agus tá an locht níos faide ar aghaidh ar an gcosán.