iPhone VPN ըստ դոմենի, որոշեք, թե որտեղ է տեղի ունենում մերժումը
NeverConnect-ը կանխում է VPN-ի մեկնարկը, այն չի արգելափակում կայքը: Որոշեք, արդյոք մերժումը պատկանում է ծառայության սահմանին, թե կառավարվող քաղաքականությանը:
Երկու պահանջ գրվում է որպես մեկ նախադասություն, ապա իրականացվում բոլորովին տարբեր վայրերում։ «Այս կայքը պետք է հասանելի լինի միայն VPN-ի միջոցով» պնդում է ընդունելության մասին, և նրա բնական տունը ծառայության դիմացի ցանցն է։ «Այս iPhone-ը երբեք չպետք է ուղղակիորեն կապվի այդ դոմենի հետ» պնդում է սարքի մասին, և միայն կառավարվող հաճախորդի քաղաքականությունը կարող է արտահայտել այն։ Որոշեք, թե որն է ձեզ մոտ իրականում, նախքան պրոֆիլի խմբագրիչը բացելը։
Երկու պահանջ, որոնք նույնն են հնչում
Վերցրեք պատկերավոր հոսթը՝ records.corp.example։ Ընդունելության դեպքում դուք հրապարակում եք այն միայն VPN-ի հետևի հասցեներով, ուստի բջջային ցանցում գտնվող հեռախոսից ուղղակի փորձը ձախողվում է ցանցում, մինչդեռ նույն հարցումը թունելով հաջողվում է և դեռ պահանջում է հաշիվ մուտքագրել։ Սարքի դեպքում հեռախոսը կարող է հասնել հանրային ինտերնետ, ուստի հոսթը լուծվում է և պատասխանում բոլորին, և փորձը կանգնեցնելու միակ տեղը սարքն է։ Ծառայությունը չի կարող կանոն կիրառել հարցման նկատմամբ, որը երբեք չի հասնում իրեն։
Պահանջի սխալ ընթերցումը դրսևորվում է որպես կոնկրետ տեղաբաշխում։ Գրառումը դեռ հանրային է, օպերատորը կարծում է, թե VPN-ը պարտադիր է, և բջջային փորձի աուդիտը ցույց է տալիս, որ հարցումը երբեք չի մտել թունել։ Մատյաններում ոչինչ կոտրված չի թվում, որովհետև ոչինչ չի արգելափակվել։
Կարդացեք գնահատման գործողությունները բառացիորեն
Ըստ պահանջի աշխատող մեխանիզմն ունի գործողությունների երկու տարբեր շերտ, և դրանց խառնումը ստեղծում է այստեղի շփոթության մեծ մասը։ Արտաքին կանոնի գործողությունը որոշում է, թե ինչ է պատահում թունելին, երբ կանոնը համընկնում է, իսկ կապի գնահատման գործողությունը որոշում է, թե ինչ է պատահում հոսթի անվան համընկնմանը գնահատման կանոնի ներսում։ Apple-ի Never Connect հղումը նկարագրում է միայն երկրորդ շերտը։
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect այն արժեքն է, որը ամենից հաճախ սխալ են կարդում, որովհետև անունը հուշում է արգելափակում։ Այն կառավարում է թունելի մեկնարկը համընկնող հոսթի անվան համար, ոչ թե հեռախոսի թույլտվությունը՝ հասնելու անվանը, ուստի Never Connect գրառումը դոմենի արգելափակում չէ։ Այդպես անվանելը նախագծային փաստաթղթում այն ուղին է, որով տեղաբաշխումը հաստատվում է կատարման սահմանով, որը նա չունի։
Երբ ծառայությունը ձերն է, կիրառեք սահմանին
Ընդունելության սահմանափակումը նշանակում է անունը հրապարակել միայն այնտեղ, ուր VPN-ի ուղին կարող է հասնել, և ապա ստուգել, որ նախատեսված ուղին աշխատում է, իսկ մյուս ուղին՝ ոչ։ Ծածկեք յուրաքանչյուր հրապարակված գրառում, երկու հասցեների ընտանիքները, եթե հրապարակում եք դրանք, և ցանկացած միջանկյալ կամ այլընտրանքային անուն, որն օգտագործում է հավելվածը։ Հին CNAME-ը, որը դեռ ցույց է տալիս հանրային բեռնվածքի հավասարակշռիչին, ուղիղ ուղին կենդանի է պահում, որքան էլ հիմնական գրառումը կոկիկ լինի։
Սա պաշտպանում է ծառայությունը, ոչ թե սարքը։ Այն չի խանգարում հեռախոսին DNS հարցում ուղարկել, և չի խանգարում հավելվածին փորձել։ Եթե այդ փորձերը ընդունելի են, սահմանին կիրառումը ավելի էժան և դիմացկուն ընտրություն է, որովհետև այն գործում է յուրաքանչյուր հաճախորդի համար, ոչ միայն նրանց, ում դուք կարգավորել եք։ Այն նաև վերապրում է հեռախոս, որը երբեք չի գրանցվել։
Երբ հեռախոսը նույնիսկ չպետք է փորձի, ձեզ կառավարվող քաղաքականություն է պետք
Փորձը կանգնեցնելու համար անհրաժեշտ է աջակցվող կատարման քաղաքականություն, որը ծածկում է հավելվածը կամ նպատակակետերը մինչև կապը, թունելի ձախողման ընթացքում և ցանցի փոփոխությունից հետո։ Խնդրեք VPN-ի կամ սարքերի կառավարման մատակարարին անվանել այդ քաղաքականությունը, ասել, արդյոք այն պահանջում է կազմակերպական կառավարում, և նկարագրել, թե ինչ այլ բանի վրա է այն ազդում։ Հավելվածի համար թունելը գումարած ըստ պահանջի կանոնը նույն բանը չեն, և գլխավոր էկրանի դյուրանցումը դեպի կապը նույնպես։
Փորձարկեք ձախողման դեպքը՝ անջատելով թունելը և դիտելով, թե արդյոք հարցումը դուրս է գալիս։ Եթե դուրս է գալիս, ապա ձեր փաստաթղթավորած սահմանը այն սահմանը չէ, որը դուք տեղակայել եք։
Որոշեք երեք հարցով
Առաջին, դուք կառավարում եք ծառայությունը, թե միայն հեռախոսը։ Երկրորդ, կարո՞ղ է սարքը օրինականորեն օգտագործել հանրային ինտերնետը մնացած ամեն ինչի համար։ Երրորդ, հեռախոսը կառավարվո՞ւմ է, և ում կողմից։ Ծառայության սեփականությունը գումարած կառավարվող պարկը նշանակում է, որ ցանկացած շերտ հասանելի է, մինչդեռ միայն հեռախոսին տիրելը հաճախորդի քաղաքականությունը դարձնում է միակ տարբերակը, և այն պետք է աջակցվի։
Պատասխանեք այդ երեքին, նախքան պրոֆիլին դիպչելը։ Այդ ժամանակ կարգավորումը դադարում է ենթադրություն լինելուց այն մասին, թե ինչ է նշանակում Never անունով վանդակը։