VPN por dominio no iPhone: decida onde ocorre o rexeitamento
NeverConnect impide que a VPN arrinque; non bloquea un sitio web. Decida se o rexeitamento pertence ao límite do servizo ou a unha política xestionada.
Dous requisitos escríbense como unha soa frase e despois impléméntanse en lugares completamente distintos. «Este sitio só debe ser accesible a través da VPN» é unha afirmación sobre a admisión, e o seu fogar natural é a rede diante do servizo. «Este iPhone nunca debe contactar directamente con ese dominio» é unha afirmación sobre o dispositivo, e só unha política de cliente xestionada pode expresala. Decida cal ten realmente antes de abrir un editor de perfís.
Dous requisitos que soan idénticos
Tome o host ilustrativo records.corp.example. No caso de admisión publícao só en enderezos detrás da VPN, de modo que un intento directo desde un teléfono en rede celular falla na rede, mentres que a mesma solicitude a través do túnel ten éxito e aínda esixe un inicio de sesión real na conta. No caso do dispositivo o teléfono pode chegar a internet pública, así que o host resólvese e responde a calquera, e o único lugar para deter o intento é o dispositivo. O servizo non pode aplicar unha regra sobre unha solicitude que nunca lle chega.
A mala lectura do requisito maniféstase como un despregamento concreto. O rexistro segue sendo público, o operador cre que a VPN é obrigatoria, e unha auditoría dun intento celular mostra que a solicitude nunca entrou no túnel. Nada nos rexistros parece roto, porque non se bloqueou nada.
Lea as accións de avaliación ao pé da letra
A maquinaria baixo demanda ten dúas capas distintas de accións, e confundilas produce a maior parte da confusión aquí. A acción da regra externa decide que ocorre co túnel cando a regra coincide, e a acción de avaliación de conexión decide que ocorre cunha coincidencia de nome de host dentro dunha regra de avaliación. A referencia Never Connect de Apple só describe a segunda capa.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect é o valor que se le mal con máis frecuencia, porque o nome suxire un bloqueo. Goberna o arrinque do túnel para un nome de host coincidente, non o permiso do teléfono para alcanzar un nome, así que unha entrada Never Connect non é un bloqueo de dominio. Etiquetala así nun documento de deseño é como se aproba un despregamento cun límite de aplicación que non ten.
Cando o servizo é seu, aplique no límite
Restrinxir a admisión significa publicar o nome só onde o camiño da VPN pode alcanzalo, e despois probar que o camiño previsto funciona e outro camiño non. Cubra cada rexistro publicado, as dúas familias de enderezos se as publica, e calquera nome intermedio ou alternativo que use a aplicación. Un CNAME antigo que aínda apunta a un balanceador de carga público mantén vivo o camiño directo por moi ordenado que estea o rexistro principal.
Isto protexe o servizo en lugar do dispositivo. Non impide que o teléfono envíe unha consulta DNS, nin impide que a aplicación o intente. Se eses intentos son aceptables, a aplicación no límite é a opción máis barata e duradeira, porque vale para todos os clientes e non só para os que configurou. Tamén sobrevive a un teléfono que nunca se inscribiu.
Cando o teléfono non debe nin intentalo, necesita unha política xestionada
Deter o intento require unha política de aplicación compatible que cubra a aplicación ou os destinos antes da conexión, durante un fallo do túnel e despois dun cambio de rede. Pida ao provedor de VPN ou de xestión de dispositivos que nomee esa política, diga se require xestión organizativa e describa que máis afecta. Un túnel por aplicación máis unha regra baixo demanda non é o mesmo, e un atallo na pantalla de inicio a unha conexión tampouco.
Probe o caso de fallo desactivando o túnel e observando se a solicitude sae. Se sae, o límite que documentou non é o límite que despregou.
Decida con tres preguntas
Primeiro, controla o servizo ou só o teléfono? Segundo, pode o dispositivo usar lexitimamente internet pública para todo o demais? Terceiro, o teléfono está xestionado, e por quen? Posuír o servizo máis unha frota xestionada significa que calquera das dúas capas está dispoñible, mentres que posuír só o teléfono converte a política de cliente na única opción e esta debe estar soportada.
Responda esas tres antes de tocar un perfil. Entón a configuración deixa de ser unha conxectura sobre que significa unha caixa chamada Never.