Aplikacija na iPhoneu ne pronalazi lokalne uređaje dok je VPN uključen
Dvoja vrata odlučuju može li aplikacija na iPhoneu preko VPN-a doći do printera ili televizora: dopuštenje za Lokalnu mrežu i rute samog tunela. Provjerite ih redom.
Aplikacija za ispis prikazuje prazan popis, aplikacija kamere javlja da uređaj nije pronađen, a gumb za prijenos u videoaplikaciji vrti se dok ne odustane. Ikona VPN-a stoji u statusnoj traci, telefon ima pun signal i Safari bez problema učitava stranice, pa na vezi ništa ne izgleda pokvareno. Zatim otvorite postavke same aplikacije i ne nađete ništa za prebacivanje.
Naletio sam točno na taj zid s printerom naljepnica u kućnoj mreži: aplikaciji nikad nije odobren pristup lokalnoj mreži, a profil koji sam testirao bio je puni tunel koji je gutao svaki paket adresiran na 192.168.1.0/24. Dvoja neovisna vrata bila su zatvorena i otvaranje jednih ne bi uklonilo simptom.
Dvoja vrata između jedne aplikacije i jednog printera
Prva vrata su odluka o privatnosti koja pripada operacijskom sustavu, a ne aplikaciji. iOS odlučuje smije li aplikacija slati promet na adrese u lokalnoj mreži i pita korisnika pri prvom pokušaju aplikacije. Druga vrata su tablica usmjeravanja. Paket namijenjen 192.168.1.50 ili izlazi preko Wi-Fi prema printeru ili ulazi u tunel, a taj je izbor zapisan u profilu VPN-a.
Dvoja vrata zataje na različite načine i upravo to omogućuje dijagnozu. Odobrenje koje je odbijeno ubija vlastiti poziv socketa u aplikaciji, pa aplikacija nema što izvijestiti i pada natrag u općenito prazno stanje. Problem s usmjeravanjem izgleda kao istek vremena, jer su paketi napustili telefon i umrli negdje na drugoj strani. Isti prazan zaslon, druga popravka.
Pročitajte stanje odobrenja prije nego dirate VPN
Otvorite Postavke, zatim Privatnost i sigurnost, zatim Lokalna mreža. Svaka aplikacija koja je zatražila pristup pojavljuje se ondje s prekidačem. Apple je dijelove ovog zaslona premještao i preimenovao između iOS-a 14 i iOS-a 18, pa ako stavka nije ondje gdje je očekujete, upišite Lokalna mreža u polje pretrage postavki umjesto da pretražujete cijelo stablo.
Ljude najviše uhvati jednokratno pitanje. iOS pita kad aplikacija prvi put dotakne lokalnu mrežu i samo tada. Dodirnite Ne dopusti i pitanje se pri sljedećem pokretanju ne vraća; prekidač je jedini put natrag i na početku je isključen. Ponovna instalacija aplikacije resetira odluku, zato neke teme za rješavanje problema tvrde da je reinstalacija popravila otkrivanje. Jest, brisanjem odbijanja.
Na nadziranom ili upravljanom iPhonu prekidač je katkad siv. Profil postavki privatnosti koji pošalje MDM može unaprijed postaviti ili zaključati pristup lokalnoj mreži, a zaključan isključen prekidač znači da je popravak promjena pravila, a ne promjena telefona. Apple dokumentira pitanje i prekidač po aplikaciji ovdje: support.apple.com/en-us/102229.
Provjerite što tunel zapravo usmjerava
Puni tunel uzima 0.0.0.0/0 i s njim svaki privatni raspon. Paketi za 10.x, 172.16.0.0/12 i 192.168.x.x putuju na poslužitelj, koji ih obično odbacuje ili prevodi u vlastitu podmrežu, pa printer ostaje nedostupan i nakon što odobrite dopuštenje. Podijeljeni tunel čini suprotno, ali samo za raspone koje profil navodi.
Profili IKEv2 izrađeni u Apple Configuratoru ili dostavljeni kao .mobileconfig to izražavaju postavkom slanja cjelokupnog prometa plus, u podijeljenom načinu, izričitim popisom lokalnih mreža koje treba isključiti. Klijentske aplikacije izgrađene na NEPacketTunnelProvider izražavaju istu odluku kroz includedRoutes. Ni jedno ni drugo nije vidljivo iz statusne trake, a oboje prepisuje ono što aplikacija očekuje.
Ovo je test koji koristim. S povezanim VPN-om otvorite u Safariju administratorsku stranicu usmjerivača na njegovoj LAN adresi. Ako se javne stranice učitavaju dok ta stranica istekne, vaš je privatni raspon u tunelu. Ako se stranica učita, lokalni promet i dalje izlazi preko Wi-Fi-ja i blokada je negdje drugdje.
Povežite simptom s vratima
Dvije aplikacije na istom telefonu mogu se ne slagati jer se dopuštenje daje po aplikaciji, a rute po profilu. Usporedite što zataji prije nego što išta promijenite: obrazac obično sam imenuje vrata.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
Redak mDNS zaslužuje napomenu. Promet otkrivanja za Bonjour i većinu protokola prijenosa ide multicastom na 224.0.0.251 i ff02::fb s dosegom lokalne veze, a usmjereni tunel ga ne prenosi. Zato uređaj može odgovoriti na izravnu vezu, a da se nikad ne pojavi na popisu.
Testirajte radnju, ne ikonu
Nakon što prebacite Lokalnu mrežu, prisilno zatvorite aplikaciju iz prebacivača aplikacija i ponovno je pokrenite. Proces koji radi može zadržati odbijeno stanje od prije promjene, a aplikacija koja i dalje vraća prazan popis izgleda jednako bez obzira na to je li dopuštenje proradilo. Zatim izvedite jednu konkretnu radnju, primjerice ispišite probnu stranicu ili pokrenite video, umjesto da čekate da se popis uređaja napuni.
Držite profil VPN-a nepromijenjenim tijekom usporedbe. Ako otkrivanje počne raditi tek nakon odspajanja, naučili ste da je kriv tunel, a ne dopuštenje. Mijenjajte jednu varijablu po pokušaju, inače vam sljedeći krug neće reći ništa.
Popravite ovim redom
Slijed u nastavku je onaj kojeg se sad držim, jer telefon nikad ne ostavlja u napola promijenjenom stanju u kojem je sljedeći test nečitljiv.
- Provjerite je li aplikacija navedena pod Privatnost i sigurnost, Lokalna mreža, i je li njezin prekidač uključen.
- Prisilno zatvorite i ponovno pokrenite aplikaciju, pa jednom ponovite stvarnu radnju.
- Otvorite stranicu usmjerivača na LAN adresi dok ste povezani kako biste dokazali je li privatni raspon u tunelu.
- Ako jest, uredite profil da isključi lokalne mreže ili zamolite vlasnika profila da to učini.
- Ako je prekidač siv, tretirajte uređaj kao upravljan i proslijedite zahtjev administratoru.
Obično vrijedi samo jedna. Ako nijedna ne promijeni rezultat, preostali su sumnjivci sama mreža, poput izolacije pristupne točke ili popisa dopuštenih klijenata vezanog uz Wi-Fi adrese, a tablica preslikavanja gore pokazuje koja.