Az iPhone-alkalmazás nem találja a helyi eszközöket bekapcsolt VPN mellett
Két kapu dönti el, eléri-e egy iPhone-alkalmazás a nyomtatót vagy a tévét VPN-en keresztül: a Helyi hálózat engedély és az alagút saját útvonalai. Ellenőrizd őket sorrendben.
A nyomtatóalkalmazás üres listát mutat, a kameraalkalmazás azt jelzi, hogy nem talált eszközt, a videoalkalmazás cast gombja pedig addig pörög, amíg fel nem adja. A VPN ikon ott van a státuszsávban, a telefonon teljes a térerő, a Safari gond nélkül tölti be az oldalakat, tehát a kapcsolattal semmi sem tűnik hibásnak. Aztán megnyitod az alkalmazás saját beállításait, és nem találsz semmit, amit át lehetne kapcsolni.
Pont ebbe a falba futottam bele egy címkenyomtatóval egy otthoni hálózaton: az alkalmazás soha nem kapott hozzáférést a helyi hálózathoz, a tesztelt profil pedig teljes alagút volt, amely elnyelte a 192.168.1.0/24 címre küldött minden csomagot. Két független kapu volt zárva, és az egyik kinyitása nem szüntette volna meg a tünetet.
Két kapu egy alkalmazás és egy nyomtató között
Az első kapu adatvédelmi döntés, amely az operációs rendszerhez tartozik, nem az alkalmazáshoz. Az iOS dönti el, küldhet-e egy alkalmazás forgalmat a helyi hálózat címeire, és az első próbálkozáskor megkérdezi a felhasználót. A második kapu az útválasztási tábla. A 192.168.1.50 címre szánt csomag vagy Wi-Fi-n indul a nyomtató felé, vagy belép az alagútba, és ezt a választást a VPN-profil írja le.
A két kapu különböző formában hibázik, és éppen ez teszi lehetővé a diagnózist. A megtagadott engedély megöli az alkalmazás saját socket-hívását, így az alkalmazásnak nincs mit jelentenie, és visszaesik egy általános üres állapotba. Az útválasztási probléma időtúllépésnek látszik, mert a csomagok elhagyták a telefont, és valahol a túloldalon elpusztultak. Ugyanaz az üres képernyő, más javítás.
Olvasd el az engedély állapotát, mielőtt a VPN-hez nyúlsz
Nyisd meg a Beállításokat, majd az Adatvédelem és biztonságot, majd a Helyi hálózatot. Minden alkalmazás, amely hozzáférést kért, ott jelenik meg egy kapcsolóval. Az Apple áthelyezte és átnevezte a képernyő részeit az iOS 14 és az iOS 18 között, ezért ha a bejegyzés nem ott van, ahol várod, írd be a Helyi hálózatot a beállítások keresőmezőjébe, ahelyett hogy a fát böngésznéd.
Az embereket leginkább az egyszeri kérdezés fogja meg. Az iOS akkor kérdez, amikor egy alkalmazás először érinti a helyi hálózatot, és csak akkor. Koppints a Ne engedélyezésre, és a kérés a következő indításnál nem tér vissza; a kapcsoló az egyetlen út vissza, és alapból kikapcsolt. Az alkalmazás újratelepítése visszaállítja a döntést, ezért állítják egyes hibaelhárítási szálak, hogy az újratelepítés megjavította a felderítést. Meg is javította, a tiltás törlésével.
Felügyelt vagy kezelt iPhone-on a kapcsoló néha szürke. Az MDM által kiküldött adatvédelmi beállítási csomag előre beállíthatja vagy zárolhatja a helyi hálózathoz való hozzáférést, a zárolt, kikapcsolt kapcsoló pedig azt jelenti, hogy a javítás házirend-módosítás, nem telefonmódosítás. Az Apple itt dokumentálja a kérést és az alkalmazásonkénti kapcsolót: support.apple.com/en-us/102229.
Ellenőrizd, mit irányít valójában az alagút
A teljes alagút elveszi a 0.0.0.0/0-t, és vele együtt minden privát tartományt. A 10.x, 172.16.0.0/12 és 192.168.x.x címre szánt csomagok a szerverhez utaznak, amely általában eldobja vagy a saját alhálózatára fordítja őket, így a nyomtató elérhetetlen marad akkor is, ha megadtad az engedélyt. A megosztott alagút az ellenkezőjét teszi, de csak azokra a tartományokra, amelyeket a profil felsorol.
Az Apple Configuratorral készített vagy .mobileconfig formájában terjesztett IKEv2-profilok ezt az összes forgalom küldése beállítással fejezik ki, plusz megosztott módban a kizárandó helyi hálózatok kifejezett listájával. A NEPacketTunnelProviderre épülő kliensalkalmazások ugyanezt a döntést az includedRoutes-on keresztül fejezik ki. Egyik sem látszik a státuszsávból, és mindkettő felülírja azt, amit az alkalmazás látni vár.
Ez az a teszt, amelyet használok. Csatlakoztatott VPN-nel nyisd meg a router adminisztrációs oldalát a LAN-címén a Safariban. Ha a nyilvános oldalak betöltődnek, miközben ez az oldal időtúllépésbe fut, a privát tartományod az alagúton belül van. Ha az oldal betöltődik, a helyi forgalom még mindig Wi-Fi-n megy ki, és a blokkolás máshol van.
Rendeld a tünetet a kapuhoz
Két alkalmazás ugyanazon a telefonon ellentmondhat egymásnak, mert az engedélyt alkalmazásonként adják, az útvonalakat pedig profilonként. Hasonlítsd össze, mi hibázik, mielőtt bármit változtatnál: a minta általában maga nevezi meg a kaput.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
Az mDNS-sor megjegyzést érdemel. A Bonjour és a legtöbb cast protokoll felderítési forgalma multicastként megy a 224.0.0.251 és az ff02::fb címre link-local hatókörrel, és egy irányított alagút nem szállítja. Ezért tud egy eszköz válaszolni egy közvetlen kapcsolatra anélkül, hogy valaha megjelenne egy listán.
A műveletet teszteld, ne az ikont
Miután átállítottad a Helyi hálózat kapcsolót, kényszerítsd az alkalmazást az appváltóból való kilépésre, és indítsd újra. Egy futó folyamat megtarthatja a változtatás előtti megtagadott állapotot, és egy alkalmazás, amely továbbra is üres listát ad, ugyanúgy néz ki, akár működött az engedély, akár nem. Utána hajts végre egy konkrét műveletet, például nyomtass tesztoldalt vagy indíts videót, ahelyett hogy az eszközlista feltöltődését figyelnéd.
Tartsd rögzítve a VPN-profilt az összehasonlítás alatt. Ha a felderítés csak a leválasztás után kezd működni, megtanultad, hogy az alagút a hibás, nem az engedély. Próbálkozásra egy változót módosíts, különben a következő futás semmit sem mond el.
Ebben a sorrendben javítsd
Az alábbi sorrendet követem most, mert soha nem hagy egy telefont félig megváltoztatott állapotban, ahol a következő teszt olvashatatlan.
- Ellenőrizd, hogy az alkalmazás szerepel-e az Adatvédelem és biztonság, Helyi hálózat alatt, és hogy a kapcsolója be van-e kapcsolva.
- Kényszerítsd kilépésre az alkalmazást, indítsd újra, majd egyszer ismételd meg a valódi műveletet.
- Nyisd meg a router oldalát a LAN-címen, miközben csatlakozva vagy, hogy bebizonyítsd, a privát tartomány az alagútban van-e.
- Ha ott van, szerkeszd a profilt a helyi hálózatok kizárásához, vagy kérd meg a profil tulajdonosát, hogy tegye meg.
- Ha a kapcsoló szürke, kezeld az eszközt felügyeltként, és továbbítsd a kérést az adminisztrátornak.
Általában csak egyikük érvényes. Ha egyik sem változtat az eredményen, a maradék gyanúsított maga a hálózat, például a hozzáférési pont izolációja vagy a Wi-Fi-címekhez kötött engedélyezett ügyféllista, és a fenti leképezési táblázat megmutatja, melyik.