Il VPN su richiesta dell’iPhone si connette al Wi-Fi dell’ufficio, non alla rete mobile

Alle nove il telefono si unisce alla rete senza fili dell’ufficio, e il tunnel sale da solo e resta lì tutto il giorno. La rete mobile poi si comporta esattamente come tutti intendevano. Qualcuno ha aggiunto un’esclusione per la rete aziendale settimane fa, quindi il profilo appare pulito in revisione, e ogni mattina produce comunque lo stesso risultato. Il dispositivo segue l’elenco che gli è stato dato, e l’elenco dice qualcosa di diverso da ciò che il suo autore credeva.

L’elenco si legge dall’alto, e la prima corrispondenza vince

Le voci vengono valutate in ordine. La prima le cui condizioni valgono decide il risultato per quel momento, e tutto ciò che sta sotto non viene mai guardato. L’ordine porta quindi tanto significato quanto qualsiasi condizione scritta dentro una regola. Leggere l’array dall’alto spiega un profilo che sembra ignorare un’esclusione che chiaramente contiene.

Una voce generale di connessione senza fili posta sopra l’esclusione dell’ufficio garantisce un tunnel sul posto. Nient’altro nel carico deve muoversi perché il comportamento si inverta.

Una voce di disconnessione fa due lavori

Quando l’azione è Disconnetti, la voce chiude una sessione già in corso e ne blocca una nuova finché le sue condizioni restano vere. Entrambe le metà contano per un’esclusione, e la seconda tende a essere dimenticata. La stessa voce in un secondo profilo spiega un piano dove il VPN rifiuta di avviarsi mentre il resto dell’edificio funziona. Nessuno ha toccato il tunnel; lo ha fatto l’elenco.

La tabella mostra la forma, l’esclusione prima, con nomi che devono venire dalla tua distribuzione. Di solito due voci bastano, e una terza per la rete mobile rende prevedibile il resto.

Mantieni entrambe le condizioni sull’esclusione

Abbina il nome della rete al tipo di interfaccia. Un nome da solo può scattare su un collegamento condiviso che porta la stessa etichetta, mentre un tipo di interfaccia da solo esclude ogni rete senza fili che l’utente visita quel giorno. Entrambe le metà appartengono a una voce, non a due regole che per caso stanno una accanto all’altra.

Il confronto del nome è esatto e distingue maiuscole e minuscole. Questo va bene per una rete nota e crea tensione ovunque altrove, perché le reti ospiti riutilizzano etichette familiari, le sedi vengono rinominate dopo una fusione e una scrivania cablata non porta alcun nome. Chiedi al team di rete l’etichetta esatta invece di leggerla da un cartello sul muro.

Quando una sonda batte un nome

Una voce di sonda richiede un URL e legge una risposta riuscita come condizione vera. Scegli un host che risponda solo dall’interno, come un servizio intranet che non può essere risolto pubblicamente, e la regola smette di interessarsi a come la rete chiama se stessa. Una sonda che risponde da qualsiasi luogo prova internet, non l’edificio. La proprietà che decide se funziona è che la risposta arrivi senza reindirizzamento; un portale ospiti che rimbalza ogni richiesta trasforma la sonda in rumore.

Le regole basate sul dominio sono una forma a parte: NEEvaluateConnectionRule abbina i domini richiesti e può connettersi quando un nome viene risolto. Il suo carattere jolly è accettato solo come etichetta più a sinistra, quindi *.example.com è valido mentre example.*.com non lo è. Se un profilo non usa né condizioni di interfaccia né sonde di raggiungibilità, controlla se invece usa quel tipo di regola.

Cosa non controllano le regole su richiesta

Le regole scelgono se un tunnel parte e non hanno voce in capitolo nel mantenerlo in funzione. Una sessione che appare e poi svanisce qualche minuto dopo punta a timer di inattività, limiti di sessione del gateway o alla dimensione del percorso. Ognuno di questi lascia una traccia diversa, ed è per questo che conviene escludere l’elenco delle regole prima di cambiarne uno. Le impostazioni di keep-alive non spiegano quel modello, e modificarle sposta il lavoro senza toccare la causa.

Gli utenti possono disattivare la funzione su richiesta nelle Impostazioni, e un’assegnazione gestita può ripristinarla al successivo check-in. Quando l’interruttore continua a tornare alla posizione precedente, l’assegnazione è la parte attiva. La distinzione conta, perché l’applicazione forzata torna da sola mentre un’offerta resta spenta.

Conferma quale gruppo di profili possiede il dispositivo e se l’intenzione è imporre il tunnel o solo offrirlo. Quella risposta decide se la preferenza dell’utente conta come un difetto o come una funzione.