प्रबंधित iPhone ऐप्स पर प्रति-ऐप VPN: क्या रूट होता है और क्या नहीं
प्रति-ऐप टनल प्रबंधित ऐप का पीछा करती है, फ़ोन का नहीं. पेलोड संबद्धता, प्रबंधित प्रति, मांग-पर नियम और ऐप से बाहर जाने वाले प्रवाह जाँचें.
iPhone पर प्रति-ऐप VPN पूरे फ़ोन के लिए स्विच नहीं है। यह एक प्रबंधित ऐप और एक VPN पेलोड के बीच संबद्धता है, जो ऐप तैनात होने पर बनती है, और बाकी सबका ट्रैफ़िक पहले वाला मार्ग बनाये रखता है। इसीलिए वही फ़ोन असंगत व्यवहार करता है: काम का ऐप निजी पेज खोलता है जबकि Safari उसी होस्ट तक नहीं पहुँच पाता, या टनल कभी ऊपर नहीं आती और ऐप ऐसा टाइमआउट बताता है जो खराब क्रेडेंशियल जैसा लगता है। जाँचें सबसे व्यापक कारण से नीचे चलती हैं, इसलिए पहली असफ़ल जाँच पर रुकें।
पहले पेलोड और ऐप रिकॉर्ड जाँचें
संबद्धता दो ऑब्जेक्ट में रहती है, एक में नहीं। VPN पेलोड टनल को परिभाषित करता है: प्रकार, सर्वर, प्रमाणीकरण, DNS और कस्टम क्लाइंट उपयोग होने पर प्रदाता का बंडल पहचानकर्ता। ऐप रिकॉर्ड उस पेलोड की ओर इशारा करता है, और अधिकांश प्रबंधन कंसोल इसे ऐप कॉन्फ़िगरेशन में प्रति-ऐप विकल्प के रूप में, Per-App VPN के करीबी नाम से देते हैं। जिस पेलोड की ओर कोई ऐप इशारा नहीं करता वह प्रति-ऐप कुछ भी रूट नहीं करता; वह सामान्य टनल की तरह व्यवहार करता है जिसे किसी को हाथ से शुरू करना होता है।
फ़ोन स्पर्श करने से पहले दोनों ऑब्जेक्ट पढ़ें। पुष्टि करें कि ऐप कॉन्फ़िगरेशन उस पेलोड की ओर इशारा करता है जिसे आप परख रहे हैं, न कि उसकी पुरानी प्रति की ओर, क्योंकि स्थानांतरण के बाद लगभग एक जैसे नामों वाले दोहरे पेलोड आम हैं और ऐप खुशी से हटाए गए की ओर इशारा कर देता है। फ़िर पुष्टि करें कि कॉन्फ़िगरेशन डिवाइस तक पहुँचा: सेटिंग्स, सामान्य, VPN और डिवाइस प्रबंधन को इसे इंस्टॉल किए गए प्रोफ़ाइल के रूप में दिखाना चाहिए। वहाँ की VPN सूची परीक्षण नहीं है। प्रति-ऐप सेवा में आम तौर पर हाथ का स्विच नहीं होता, इसलिए सही तरीके से तैनात कॉन्फ़िगरेशन शुरू करने योग्य VPN के बीच कभी नहीं दिख सकता। अनुपस्थिति ऐप रिकॉर्ड में और टनल ऐप के पहले अनुरोध पर ऊपर आती है या नहीं, इसमें दिखती है।
एक शर्त बहुत सारे टिकट समझाती है: यह मॉडल चाहता है कि ऐप प्रबंधन के रास्ते आए। बाहर से इंस्टॉल या निजी तौर पर खरीदी प्रति को संबद्धता नहीं मिलती, भले ही उसका बंडल पहचानकर्ता मेल खाए। VPN के लिए Apple की तैनाती मार्गदर्शिका इसके पीछे का पेलोड मॉडल बताती है (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web)।
पुष्टि करें कि इंस्टॉल किया गया ऐप प्रबंधित प्रति है
संबद्धता इंस्टॉल किए गए, प्रबंधित ऐप का पीछा करती है। अगर किसी ने इसे निजी Apple ID से App Store से दोबारा इंस्टॉल किया, फिर से हस्ताक्षरित एंटरप्राइज़ बिल्ड से बदला, या डिवाइस दोबारा नामांकित हुआ और ऐप किसी दूसरे चैनल से लौटा, तो टनल नीचे रह सकती है जबकि ऐप खुद बिल्कुल सामान्य दिखता है।
तुलना से परखें, एक अवलोकन से नहीं। प्रबंधन सूची में ऐप उस डिवाइस के लिए प्रबंधित के रूप में उसके रिकॉर्ड में VPN मैपिंग के साथ दिखना चाहिए। फ़ोन पर टनल तब ऊपर आनी चाहिए जब ऐप शुरू हो और उसका पहला अनुरोध बाहर जाए, केवल तब नहीं जब कोई सेटिंग्स में अलग हाथ का कॉन्फ़िगरेशन शुरू करे। अगर ऐप शुरू करने से कुछ नहीं बदलता और वह हाथ का कॉन्फ़िगरेशन बदलता है, तो ऐप प्रति-ऐप टनल से बिल्कुल जुड़ा नहीं है।
अपडेट मायने रखते हैं: प्रबंधन से भेजा गया अपडेट मैपिंग रखता है, जबकि उपयोगकर्ता द्वारा शुरू किया गया पुनः इंस्टॉल उसे खो सकता है। जब शिकायत किसी अपडेट से शुरू होती है, तो नेटवर्क से पहले ऐप रिकॉर्ड देखें।
जाँचें कि टनल क्या ले सकती है
प्रति-ऐप टनल स्रोत ऐप से चुनी जाती है, इसलिए फ़ोन का डिफ़ॉल्ट मार्ग अभी भी Wi-Fi या सेल्युलर का है। OverridePrimary वह कुंजी है जो इसे बदलती है। जब प्रोफ़ाइल उसे सेट करती है, टनल पूरी टनल की तरह व्यवहार करती है और हर ऐप उसे विरासत में पाता है, इसलिए VPN से जाने वाली हर चीज़ ऐप की विफ़लता नहीं बल्कि प्रोफ़ाइल का सवाल बन जाती है।
मांग-पर नियम स्थायित्व तय करते हैं। OnDemandEnabled और उसका नियम-समूह टनल को तब लौटाते हैं जब ऐप ट्रैफ़िक भेजता है, Wi-Fi से सेल्युलर के बदलाव को सहते हैं, या ऐप पृष्ठभूमि में जाने पर गिरा देते हैं। जो तैनाती जुड़ती है और फ़िर चुपचाप मर जाती है, उसमें आम तौर पर ऐसा नियम होता है जो केवल उस प्रोब से मेल खाता है जो ऐप के निष्क्रिय रहने पर कभी नहीं चलता।
फ़िर मार्ग की ओर ईमानदारी से पढ़ें। अगर प्रदाता या विक्रेता प्रोफ़ाइल समावेशन सूची देती है, तो केवल 10.20.0.0/16 ले जाने वाली टनल 10.30.0.0/16 की सेवा नहीं ले जायेगी; यह सूची अपना काम कर रही है, प्रति-ऐप विफ़लता नहीं। अंतर्निहित iOS पेलोड में समावेशन सूची नहीं है। उसके बिना विभाजन प्रदाता के डिफ़ॉल्ट और IncludeAllNetworks का पालन करता है, किसी छिपी सूची का नहीं।
ऐप परखें, फ़िर परखें कि उससे क्या बाहर जाता है
नाम से परखें, केवल पते से नहीं। प्रबंधित ऐप के भीतर आंतरिक होस्ट हल होना साबित करता है कि DNS भी टनल से गया, क्योंकि पेलोड तय करता है कौन सा रिज़ॉल्वर जवाब देगा और कौन से खोज डोमेन लागू होंगे। रूटिंग उत्तम हो सकती है जबकि नाम खोज विफ़ल हो, और दोनों लक्षण अलग सेटिंग्स की ओर इशारा करते हैं।
फ़िर दोनों ओर से सीमा परखें। निजी ऐप या Safari को सामान्य सार्वजनिक पेज तक पहुँचना चाहिए और ऑपरेटर या घर का पता बताना चाहिए, जबकि प्रबंधित ऐप निजी सेवा तक पहुँचता है। अगर दोनों एक ही सार्वजनिक पता बताते हैं, तो टनल अब प्रति-ऐप नहीं है, ऐप रिकॉर्ड कुछ भी कहे।
ऐप छोड़कर जाने वाले प्रवाह उलझे टिकट बनाते हैं। Safari में खुलने वाला लिंक, शेयर शीट से भेजा गया दस्तावेज़, या ब्राउज़र की ओर जाने वाला SSO लॉगिन ऐप की प्रक्रिया और उसके साथ टनल छोड़ देता है। ऐप के भीतर दिखाया गया लॉगिन आम तौर पर ऐप को ही माना जाता है, इसलिए एम्बेडेड साइन-इन वहाँ सफ़ल हो सकता है जहाँ वही URL Safari में विफ़ल होता है; इसे मानने के बजाय सत्यापित करें। जब पहचान प्रदाता केवल टनल से पहुँच योग्य हो, तो या तो लॉगिन ऐप के भीतर रखें या प्रदाता का डोमेन पेलोड के Safari डोमेन में जोड़ें ताकि मेल खाता Safari ट्रैफ़िक पकड़ा जाए।
लक्षण को परत से मिलाएँ
विफ़लता का आकार बताता है कौन सी जाँच दोहरानी है।
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
मध्य पंक्तियों के पीछे दो ब्यौरे हैं: प्रति-ऐप टनल स्वस्थ हो सकती है और िर भी ऐसा सबनेट छूट सकती है जो किसी प्रदाता सूची में नहीं है, और प्रबंधित फ़ोन एक से अधिक VPN कॉन्फ़िगरेशन रख सकता है, इसलिए पुष्टि करें कि ऐप किससे बंधा है, यह न मानें कि वही है जो आप पढ़ रहे हैं।
इस क्रम में सुधारें: ऐप रिकॉर्ड सुधारें ताकि वह जीवित पेलोड की ओर इशारा करे, प्रबंधन के रास्ते ऐप दोबारा इंस्टॉल करें, पुष्टि करें कि टनल ऐप के पहले अनुरोध पर ऊपर आती है, फ़िर नाम और सीमा परीक्षण दोहराएँ। अगर पहला अनुरोध टनल शुरू ही नहीं कर सकता, तो रुकें और प्रदाता की ओर देखें, क्योंकि कस्टम क्लाइंट को Network Extension मौजूद चाहिए और उसका पहचानकर्ता इंस्टॉल किए गए ऐप से मेल खाना चाहिए।
स्क्रीनशॉट के बजाय तीन तथ्य लौटाएँ: ऐप रिकॉर्ड किस पेलोड की ओर इशारा करता है, सेटिंग्स उसे इंस्टॉल किए गए प्रोफ़ाइल के रूप में दिखाती हैं या नहीं, और विफ़ल अनुरोध क्या था — नाम, पता या ब्राउज़र में स्थानांतरण। ये तीन उत्तर तैनाती की गलती को रूटिंग की गलती से अलग करते हैं, और अगला व्यक्ति निदान दोहराए बिना काम कर सकता है।