iPhone VPN प्रति डोमेन: तय करें कि इंकार कहाँ होता है
NeverConnect VPN शुरू होने से रोकता है; यह किसी वेबसाइट को ब्लॉक नहीं करता। तय करें कि इंकार सेवा की सीमा पर है या प्रबंधित नीति में।
दो आवश्यकताएँ एक वाक्य के रूप में लिखी जाती हैं और फिर पूरी तरह अलग जगहों पर लागू की जाती हैं। «यह साइट केवल VPN के माध्यम से पहुँच योग्य होनी चाहिए» प्रवेश के बारे में एक कथन है, और उसका स्वाभाविक घर सेवा के सामने का नेटवर्क है। «इस iPhone को उस डोमेन से कभी सीधे संपर्क नहीं करना चाहिए» डिवाइस के बारे में एक कथन है, और केवल एक प्रबंधित क्लाइंट नीति ही इसे व्यक्त कर सकती है। प्रोफ़ाइल संपादक खोलने से पहले तय करें कि आपके पास वास्तव में कौन-सी है।
दो आवश्यकताएँ जो एक जैसी सुनाई देती हैं
उदाहरण होस्ट records.corp.example लें। प्रवेश के मामले में आप इसे केवल VPN के पीछे के पतों पर प्रकाशित करते हैं, इसलिए सेल्युलर नेटवर्क पर फ़ोन से सीधा प्रयास नेटवर्क पर विफल होता है, जबकि टनल के माध्यम से वही अनुरोध सफल होता है और फिर भी वास्तविक खाता लॉगिन की मांग करता है। डिवाइस के मामले में फ़ोन सार्वजनिक इंटरनेट तक पहुँच सकता है, इसलिए होस्ट सभी के लिए हल होता है और उत्तर देता है, और प्रयास रोकने की एकमात्र जगह डिवाइस है। सेवा उस अनुरोध पर नियम लागू नहीं कर सकती जो उस तक कभी नहीं पहुँचता।
आवश्यकता को गलत पढ़ना एक विशिष्ट परिनियोजन के रूप में दिखाई देता है। रिकॉर्ड अभी भी सार्वजनिक है, ऑपरेटर मानता है कि VPN अनिवार्य है, और सेल्युलर प्रयास का ऑडिट दिखाता है कि अनुरोध कभी टनल में नहीं आया। लॉग में कुछ भी टूटा नहीं दिखता, क्योंकि कुछ भी ब्लॉक नहीं हुआ।
मूल्यांकन क्रियाओं को शब्दशः पढ़ें
ऑन-डिमांड मशीनरी में क्रियाओं की दो अलग परतें हैं, और उन्हें मिलाने से यहाँ अधिकांश भ्रम पैदा होता है। बाहरी नियम क्रिया तय करती है कि नियम मेल खाने पर टनल के साथ क्या होता है, और कनेक्शन-मूल्यांकन क्रिया तय करती है कि मूल्यांकन नियम के भीतर होस्टनाम मेल के साथ क्या होता है। Apple का Never Connect संदर्भ केवल दूसरी परत का वर्णन करता है।
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect वह मान है जिसे सबसे अधिक गलत पढ़ा जाता है, क्योंकि नाम ब्लॉक का संकेत देता है। यह मेल खाते होस्टनाम के लिए टनल शुरू करने को नियंत्रित करता है, फ़ोन की किसी नाम तक पहुँचने की अनुमति को नहीं, इसलिए Never Connect प्रविष्टि डोमेन ब्लॉक नहीं है। डिज़ाइन दस्तावेज़ में इसे ऐसा कहना वह तरीका है जिससे परिनियोजन को ऐसी प्रवर्तन सीमा के साथ स्वीकृति मिलती है जो उसके पास नहीं है।
जब सेवा आपकी हो, सीमा पर लागू करें
प्रवेश सीमित करने का अर्थ है नाम केवल वहाँ प्रकाशित करना जहाँ VPN पथ उस तक पहुँच सके, और फिर जाँचना कि इच्छित पथ काम करता है और दूसरा पथ नहीं। हर प्रकाशित रिकॉर्ड, दोनों पता परिवार यदि आप उन्हें प्रकाशित करते हैं, और ऐप द्वारा उपयोग किया जाने वाला कोई भी मध्यवर्ती या वैकल्पिक नाम कवर करें। पुराना CNAME जो अभी भी सार्वजनिक लोड बैलेंसर की ओर इशारा करता है, मुख्य रिकॉर्ड चाहे कितना भी साफ़ हो, सीधा पथ जीवित रखता है।
यह डिवाइस के बजाय सेवा की रक्षा करता है। यह फ़ोन को DNS क्वेरी भेजने से नहीं रोकता, और ऐप को प्रयास करने से नहीं रोकता। यदि वे प्रयास स्वीकार्य हैं, तो सीमा पर प्रवर्तन सस्ता और अधिक टिकाऊ विकल्प है, क्योंकि यह हर क्लाइंट के लिए लागू होता है, केवल उन्हीं के लिए नहीं जिन्हें आपने कॉन्फ़िगर किया। यह ऐसे फ़ोन पर भी टिकता है जो कभी नामांकित नहीं हुआ।
जब फ़ोन को प्रयास भी नहीं करना चाहिए, तब प्रबंधित नीति चाहिए
प्रयास रोकने के लिए एक समर्थित प्रवर्तन नीति चाहिए जो कनेक्शन से पहले, टनल विफलता के दौरान और नेटवर्क परिवर्तन के बाद ऐप या गंतव्यों को कवर करे। VPN या डिवाइस-प्रबंधन प्रदाता से उस नीति का नाम बताने, यह कहने कि क्या वह संगठनात्मक प्रबंधन चाहती है, और यह बताने को कहें कि वह और क्या प्रभावित करती है। प्रति-ऐप टनल और ऑन-डिमांड नियम एक ही चीज़ नहीं हैं, और होम स्क्रीन का कनेक्शन शॉर्टकट भी नहीं।
टनल अक्षम करके और देखकर कि अनुरोध बाहर जाता है या नहीं, विफलता के मामले का परीक्षण करें। यदि वह बाहर जाता है, तो आपने जिस सीमा का दस्तावेज़ बनाया वह वह सीमा नहीं है जिसे आपने तैनात किया।
तीन प्रश्नों से तय करें
पहला, क्या आप सेवा नियंत्रित करते हैं या केवल फ़ोन? दूसरा, क्या डिवाइस बाकी सब कुछ के लिए सार्वजनिक इंटरनेट का वैध रूप से उपयोग कर सकता है? तीसरा, क्या फ़ोन प्रबंधित है, और किसके द्वारा? सेवा का स्वामित्व और एक प्रबंधित फ़्लीट का अर्थ है कोई भी परत उपलब्ध है, जबकि केवल फ़ोन का स्वामित्व क्लाइंट नीति को एकमात्र विकल्प बना देता है और उसे समर्थित होना चाहिए।
प्रोफ़ाइल को छूने से पहले उन तीन का उत्तर दें। तब कॉन्फ़िगरेशन Never नाम के चेकबॉक्स का अर्थ क्या है, इसका अनुमान बनना बंद कर देता है।