iPhone VPN tartományonként: döntse el, hol történik az elutasítás
A NeverConnect megakadályozza a VPN elindulását; nem blokkol egy webhelyet. Döntse el, hogy az elutasítás a szolgáltatás határához vagy egy felügyelt szabályzathoz tartozik.
Két követelményt egyetlen mondatként írnak le, majd teljesen különböző helyeken valósítják meg. „Ezt az oldalt csak VPN-en keresztül szabad elérni” a beengedésről szóló állítás, és természetes otthona a szolgáltatás előtti hálózat. „Ennek az iPhone-nak soha nem szabad közvetlenül kapcsolatba lépnie ezzel a tartománnyal” az eszközről szóló állítás, és csak egy felügyelt kliensszabályzat tudja kifejezni. Döntse el, melyik van valójában Önnél, mielőtt megnyit egy profilszerkesztőt.
Két követelmény, amelyek ugyanúgy hangzanak
Vegye a szemléltető gazdagépet, records.corp.example. A beengedés esetében csak a VPN mögötti címekre teszi közzé, így a mobilhálózaton lévő telefon közvetlen kísérlete a hálózatnál meghiúsul, míg ugyanaz a kérés az alagúton át sikeres, és továbbra is valódi fiók-bejelentkezést követel. Az eszköz esetében a telefon elérheti a nyilvános internetet, így a gazdagép mindenki számára feloldódik és válaszol, és a kísérlet megállításának egyetlen helye az eszköz. A szolgáltatás nem tud szabályt érvényesíteni egy olyan kérésre, amely soha nem érkezik meg hozzá.
A követelmény félreolvasása konkrét telepítésként jelenik meg. A rekord továbbra is nyilvános, az üzemeltető úgy véli, hogy a VPN kötelező, és egy mobil kísérlet auditja azt mutatja, hogy a kérés soha nem lépett be az alagútba. A naplókban semmi sem tűnik töröttnek, mert semmit sem blokkoltak.
Olvassa a kiértékelési műveleteket szó szerint
Az igény szerinti mechanizmusnak két különálló műveleti rétege van, és ezek összekeverése okozza itt a legtöbb zavart. A külső szabály művelete dönti el, mi történik az alagúttal, amikor a szabály illeszkedik, a kapcsolatkiértékelési művelet pedig azt, mi történik egy gazdagépnév-egyezéssel egy kiértékelési szabályon belül. Az Apple Never Connect-referenciája csak a második réteget írja le.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect az az érték, amelyet a leggyakrabban olvasnak félre, mert a név blokkolásra utal. Az illeszkedő gazdagépnév alagútjának indítását szabályozza, nem a telefon engedélyét egy név elérésére, ezért a Never Connect bejegyzés nem tartományblokkolás. Így nevezni egy tervezési dokumentumban az az út, ahogyan egy telepítést olyan kényszerítési határral hagynak jóvá, amellyel nem rendelkezik.
Ha a szolgáltatás az Öné, a határon érvényesítse
A beengedés korlátozása azt jelenti, hogy a nevet csak ott teszi közzé, ahová a VPN-útvonal eljut, majd teszteli, hogy a tervezett útvonal működik-e, egy másik pedig nem. Fedezze le az összes közzétett rekordot, mindkét címcsaládot, ha közzéteszi őket, és minden köztes vagy alternatív nevet, amelyet az alkalmazás használ. Egy régi CNAME, amely még mindig egy nyilvános terheléselosztóra mutat, életben tartja a közvetlen útvonalat, bármilyen rendes is a fő rekord.
Ez a szolgáltatást védi, nem az eszközt. Nem akadályozza meg a telefont abban, hogy DNS-lekérdezést küldjön, és az alkalmazást sem abban, hogy próbálkozzon. Ha ezek a kísérletek elfogadhatók, a határon történő érvényesítés az olcsóbb és tartósabb választás, mert minden kliensre érvényes, nem csak azokra, amelyeket beállított. Túléli azt a telefont is, amelyet soha nem regisztráltak.
Amikor a telefonnak még próbálkoznia sem szabad, felügyelt szabályzatra van szükség
A kísérlet megállításához támogatott érvényesítési szabályzat kell, amely lefedi az alkalmazást vagy a célokat a kapcsolódás előtt, az alagút meghibásodása alatt és a hálózatváltás után. Kérje meg a VPN- vagy eszközkezelési szolgáltatót, hogy nevezze meg ezt a szabályzatot, mondja meg, hogy igényel-e szervezeti felügyeletet, és írja le, mi mást befolyásol. Az alkalmazásonkénti alagút plusz egy igény szerinti szabály nem ugyanaz, és egy kezdőképernyős gyorsparancs sem az a kapcsolathoz.
Tesztelje a hibaesetet az alagút letiltásával, és figyelje meg, hogy a kérés kimegy-e. Ha kimegy, a dokumentált határ nem az a határ, amelyet telepített.
Döntsön három kérdéssel
Először, a szolgáltatást irányítja, vagy csak a telefont? Másodszor, használhatja-e az eszköz jogszerűen a nyilvános internetet minden másra? Harmadszor, felügyelt-e a telefon, és ki által? A szolgáltatás birtoklása plusz egy felügyelt állomány azt jelenti, hogy bármelyik réteg elérhető, míg csak a telefon birtoklása a kliensszabályzatot teszi egyetlen lehetőséggé, és azt támogatni kell.
Válaszoljon erre a háromra, mielőtt hozzányúl egy profilhoz. Akkor a konfiguráció megszűnik találgatás lenni arról, mit jelent a Never nevű jelölőnégyzet.