VPN per domain di iPhone: tentukan di mana penolakan terjadi
NeverConnect menghentikan VPN agar tidak menyala; ia tidak memblokir situs web. Tentukan apakah penolakan berada di batas layanan atau dalam kebijakan terkelola.
Dua persyaratan ditulis sebagai satu kalimat lalu diterapkan di tempat yang sama sekali berbeda. «Situs ini hanya boleh dicapai melalui VPN» adalah pernyataan tentang penerimaan, dan rumah alaminya adalah jaringan di depan layanan. «iPhone ini tidak boleh pernah menghubungi domain itu secara langsung» adalah pernyataan tentang perangkat, dan hanya kebijakan klien terkelola yang dapat menyatakannya. Tentukan mana yang benar-benar Anda miliki sebelum membuka editor profil.
Dua persyaratan yang terdengar sama
Ambil host ilustratif records.corp.example. Dalam kasus penerimaan Anda menerbitkannya hanya ke alamat di belakang VPN, sehingga upaya langsung dari ponsel di jaringan seluler gagal di jaringan, sementara permintaan yang sama melalui terowongan berhasil dan tetap menuntut login akun sungguhan. Dalam kasus perangkat ponsel dapat mencapai internet publik, jadi host diresolusi dan menjawab siapa saja, dan satu-satunya tempat untuk menghentikan upaya adalah perangkat. Layanan tidak dapat menegakkan aturan atas permintaan yang tidak pernah mencapainya.
Salah membaca persyaratan muncul sebagai penerapan tertentu. Catatan tetap publik, operator percaya VPN wajib, dan audit upaya seluler menunjukkan permintaan tidak pernah masuk terowongan. Tidak ada yang tampak rusak di log, karena tidak ada yang diblokir.
Baca tindakan evaluasi secara harfiah
Mesin on-demand memiliki dua lapisan tindakan yang berbeda, dan mencampurnya menghasilkan sebagian besar kebingungan di sini. Tindakan aturan luar memutuskan apa yang terjadi pada terowongan saat aturan cocok, dan tindakan evaluasi koneksi memutuskan apa yang terjadi pada kecocokan nama host di dalam aturan evaluasi. Referensi Never Connect Apple hanya menjelaskan lapisan kedua.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect adalah nilai yang paling sering salah dibaca, karena namanya menyarankan blokir. Nilai ini mengatur mulai terowongan untuk nama host yang cocok, bukan izin ponsel untuk mencapai nama, jadi entri Never Connect bukan blokir domain. Menyebutnya demikian dalam dokumen desain adalah cara penerapan disetujui dengan batas penegakan yang tidak dimilikinya.
Saat Anda memiliki layanannya, tegakkan di batas
Membatasi penerimaan berarti menerbitkan nama hanya di tempat jalur VPN dapat mencapainya, lalu menguji bahwa jalur yang dimaksud bekerja dan jalur lain tidak. Cakup setiap catatan yang diterbitkan, kedua keluarga alamat jika Anda menerbitkannya, dan nama perantara atau alternatif apa pun yang digunakan aplikasi. CNAME lama yang masih menunjuk ke penyeimbang beban publik membuat jalur langsung tetap hidup, seberapa rapi pun catatan utamanya.
Ini melindungi layanan, bukan perangkat. Ini tidak menghentikan ponsel mengirim kueri DNS, dan tidak menghentikan aplikasi mencoba. Jika upaya itu dapat diterima, penegakan di batas adalah pilihan yang lebih murah dan tahan lama, karena berlaku untuk setiap klien dan bukan hanya yang Anda konfigurasi. Ini juga bertahan pada ponsel yang tidak pernah terdaftar.
Saat ponsel tidak boleh bahkan mencoba, Anda memerlukan kebijakan terkelola
Menghentikan upaya memerlukan kebijakan penegakan yang didukung yang mencakup aplikasi atau tujuan sebelum koneksi, selama kegagalan terowongan, dan setelah perubahan jaringan. Mintalah penyedia VPN atau manajemen perangkat menyebutkan kebijakan itu, mengatakan apakah itu memerlukan manajemen organisasi, dan menjelaskan apa lagi yang dipengaruhinya. Terowongan per aplikasi plus aturan on-demand bukan hal yang sama, dan pintasan layar utama ke koneksi juga bukan.
Uji kasus kegagalan dengan menonaktifkan terowongan dan mengamati apakah permintaan keluar. Jika keluar, batas yang Anda dokumentasikan bukan batas yang Anda terapkan.
Putuskan dengan tiga pertanyaan
Pertama, apakah Anda mengendalikan layanan atau hanya ponsel? Kedua, bolehkah perangkat menggunakan internet publik secara sah untuk semua hal lain? Ketiga, apakah ponsel dikelola, dan oleh siapa? Memiliki layanan plus armada terkelola berarti salah satu lapisan tersedia, sedangkan hanya memiliki ponsel menjadikan kebijakan klien satu-satunya opsi dan itu harus didukung.
Jawab ketiganya sebelum menyentuh profil. Konfigurasi lalu berhenti menjadi tebakan tentang apa arti kotak centang bernama Never.