Dva iPhone VPN-a istovremeno: koji od njih nosi saobraćaj?

Dvije VPN aplikacije obje prikazuju Connected, a pretpostavka je da saobraćaj sada ide kroz obje, jedna unutar druge. Obično nije tako. iOS ima poseban model suživota, i on nije lanac. Jedna klasa konfiguracije ograničena je na jednu omogućenu instancu, druga može raditi uz nju, a prioritet ruta odlučuje sukobe. Dva upaljena prekidača nisu dva skoka. Model je dokumentiran, što znači da se putanja može predvidjeti umjesto nagađati iz ikona.

Mit: dvije povezane VPN su lanac

Lanac od dva skoka zahtijeva definiran vanjski transport, definiran unutrašnji tunel, kompatibilno rutiranje krajnjih točaka i plan šta se dogodi kad bilo koji od njih zakaže. Dvije nezavisne konfiguracije to ne stvaraju samo time što postoje u isto vrijeme. Prioritet rute nije isto što i enkapsulacija, a pobjeda jedne konfiguracije u pretrazi ruta ne govori ništa o tome nosi li druga nastale pakete.

Ako vam treba ugniježđivanje, projektujte ga kao ugniježđivanje. Ne izvlačite ga iz dva indikatora veze. Ta razlika štedi mnogo otklanjanja grešaka.

Dokumentirani model iza tog mita

Appleov NETunnelProviderManager opisuje uobičajene korporativne VPN konfiguracije i navodi da se u isto vrijeme može omogućiti samo jedna te vrste. Ista referenca dopušta da Personal VPN ostane omogućen i povezan uz nju i daje korporativnim rutama prednost gdje se dvije preklapaju.

Personal VPN je ovdje API termin za ugrađenu IPsec ili IKEv2 implementaciju kojom upravlja NEVPNManager. NETunnelProviderManager je model davatelja tunela. Potrošačka aplikacija može koristiti model davatelja, pa naziv proizvoda koji sadrži personal to ne klasificira.

Apple dokumentira jednu dopuštenu kombinaciju, a dopuštenje vam ne kaže da su profili dva dobavljača kompatibilni, pa pitajte svakog dobavljača koji je par podržan. Njihove vrste konfiguracija, rute i politike i dalje odlučuju ishod.

Mit: osobni VPN dobija saobraćaj pregledanja

Radni profil koji polaže pravo na svaku destinaciju pobijedit će pretragu ruta i za javno pregledanje, pa osobni izlaz ne nosi ništa od toga. Prema dokumentiranom prioritetu korporativne rute pobjeđuju gdje se sukobljavaju, pa javno pregledanje ne prelazi automatski na osobni izlaz samo zato što i ta aplikacija prijavljuje povezanost. Uža radna konfiguracija može promijeniti sliku rutiranja, ali klijent organizacije ipak može nametnuti zahtjeve za DNS, blokiranje ili uređaj. Zatražite podržani raspored od njegovog vlasnika umjesto da te zahtjeve uređujete lokalno.

Upravljane konfiguracije po aplikaciji imaju vlastiti obim. Ne prenosite pravilo na razini uređaja na svako upravljano postavljanje.

Zapišite dva toka prije testa: privatno ime i raspon radne usluge te svjež zahtjev za javno pregledanje. Oba su legitimna i traže različite provjere.

Prioritet ruta s radnim profilom podijeljenog tunela

Radni profil s podijeljenim tunelom polaže pravo na privatne prefikse i unutrašnji DNS sufiks koji navodi, a te rute pobjeđuju svaku pretragu koja se s njima podudara. Javne destinacije koje ne odgovaraju nijednoj korporativnoj ruti padaju na fizičku vezu osim ako osobni VPN prvi polaže pravo na njih. Pravilo prioriteta odlučuje samo o preklapajućim podudaranjima, zato se dva profila moraju čitati kao tablice ruta, a ne kao ikone.

Zapišite par kao dva reda i imenujte očekivanog pobjednika za svaki: ime radnog hosta koje se razrješava na 10.x ili 172.16.x treba izaći kroz korporativni tunel, a javna adresa bez odgovarajućeg prefiksa treba preuzeti preostalu zadanu rutu. Ako oba reda imenuju isti izlaz, podjela ne radi ono što dokumentacija opisuje.

Zapišite dva toka i provjerite svaki

Za svaki tok zabilježite koja odobrena konfiguracija ga treba nositi i koji razrješivač treba primiti svaku vrstu imena. Zatim provjerite svježim zahtjevima, a ne keširanom radnom stranicom ili starim IP rezultatom.

Zaustavite jednu konfiguraciju i ponovite oba toka. Ponašanje pri otkazu dio je dizajna, i to je dio koji korisnici primijete. Kada dva davatelja ne mogu podržati kombinaciju, odlučite se za jednu odobrenu konfiguraciju i dokumentirajte koji tok nosi, ili prijeđite na upravljani dizajn s jednim tunelom. NETunnelProviderManager dokumentacija izvor je pravila suživota.