iPhone VPN დომენის მიხედვით: გადაწყვიტეთ, სად ხდება უარი
NeverConnect ხელს უშლის VPN-ის გაშვებას; ის არ ბლოკავს ვებსაიტს. გადაწყვიტეთ, ეკუთვნის თუ არა უარი სერვისის საზღვარს თუ მართულ პოლიტიკას.
ორი მოთხოვნა ერთი წინადადებით იწერება და შემდეგ სრულიად სხვადასხვა ადგილას ხორციელდება. „ეს საიტი მხოლოდ VPN-ის მეშვეობით უნდა იყოს ხელმისაწვდომი“ დაშვების შესახებ განცხადებაა და მისი ბუნებრივი სახლი სერვისის წინ არსებული ქსელია. „ამ iPhone-ს არასოდეს არ უნდა ჰქონდეს პირდაპირი კავშირი იმ დომენთან“ მოწყობილობის შესახებ განცხადებაა და მისი გამოხატვა მხოლოდ მართულ კლიენტურ პოლიტიკას შეუძლია. გადაწყვიტეთ, რომელი გაქვთ სინამდვილეში, სანამ პროფილის რედაქტორს გახსნით.
ორი მოთხოვნა, რომლებიც ერთნაირად ჟღერს
აიღეთ საილუსტრაციო ჰოსტი records.corp.example. დაშვების შემთხვევაში მას მხოლოდ VPN-ის უკან არსებულ მისამართებზე აქვეყნებთ, ამიტომ ფიჭურ ქსელში მყოფი ტელეფონიდან პირდაპირი მცდელობა ქსელში ვერ ხერხდება, მაშინ როცა იგივე მოთხოვნა გვირაბის მეშვეობით წარმატებულია და მაინც რეალურ ანგარიშში შესვლას მოითხოვს. მოწყობილობის შემთხვევაში ტელეფონს საჯარო ინტერნეტზე წვდომა შეუძლია, ამიტომ ჰოსტი ყველასთვის წყდება და პასუხობს, და მცდელობის შეჩერების ერთადერთი ადგილი თავად მოწყობილობაა. სერვისი ვერ გამოიყენებს წესს მოთხოვნაზე, რომელიც მას არასოდეს აღწევს.
მოთხოვნის არასწორი წაკითხვა კონკრეტულ განლაგებად ვლინდება. ჩანაწერი კვლავ საჯაროა, ოპერატორი თვლის, რომ VPN სავალდებულოა, და ფიჭური მცდელობის აუდიტი აჩვენებს, რომ მოთხოვნა გვირაბში არასოდეს შესულა. ჟურნალებში არაფერი გატეხილად არ გამოიყურება, რადგან არაფერი დაიბლოკა.
წაიკითხეთ შეფასების მოქმედებები სიტყვასიტყვით
მოთხოვნით მოქმედ მექანიზმს მოქმედებების ორი ცალკე ფენა აქვს და მათი შერევა აქ უმეტეს დაბნეულობას იწვევს. გარე წესის მოქმედება წყვეტს, რა მოხდება გვირაბთან, როცა წესი ემთხვევა, ხოლო კავშირის შეფასების მოქმედება წყვეტს, რა მოხდება ჰოსტის სახელის დამთხვევასთან შეფასების წესის შიგნით. Apple-ის Never Connect-ის ცნობარი მხოლოდ მეორე ფენას აღწერს.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect არის მნიშვნელობა, რომელიც ყველაზე ხშირად არასწორად იკითხება, რადგან სახელი ბლოკირებას გულისხმობს. ის მართავს გვირაბის გაშვებას დამთხვეული ჰოსტის სახელისთვის და არა ტელეფონის ნებართვას სახელის მიღწევაზე, ამიტომ Never Connect ჩანაწერი დომენის ბლოკირება არ არის. ასე დარქმევა საპროექტო დოკუმენტში ის გზაა, რომლითაც განლაგებას ამტკიცებენ ისეთი აღსრულების საზღვრით, რომელიც მას არ აქვს.
როცა სერვისი თქვენია, აღასრულეთ საზღვარზე
დაშვების შეზღუდვა ნიშნავს სახელის გამოქვეყნებას მხოლოდ იქ, სადაც VPN-ის გზა მას მიაღწევს, შემდეგ კი შემოწმებას, რომ განზრახული გზა მუშაობს და სხვა გზა — არა. დაფარეთ ყველა გამოქვეყნებული ჩანაწერი, ორივე მისამართის ოჯახი, თუ აქვეყნებთ მათ, და ნებისმიერი შუალედური ან ალტერნატიული სახელი, რომელსაც აპი იყენებს. ძველი CNAME, რომელიც ჯერ კიდევ საჯარო დატვირთვის გამანაწილებელზე მიუთითებს, პირდაპირ გზას ცოცხლად ინარჩუნებს, რაც არ უნდა მოწესრიგებული იყოს მთავარი ჩანაწერი.
ეს იცავს სერვისს და არა მოწყობილობას. ის არ აჩერებს ტელეფონს DNS მოთხოვნის გაგზავნაში და არ აჩერებს აპს ცდაში. თუ ეს მცდელობები მისაღებია, საზღვარზე აღსრულება უფრო იაფი და გამძლე არჩევანია, რადგან ის ყველა კლიენტზე მოქმედებს და არა მხოლოდ მათზე, ვინც თქვენ დააკონფიგურირეთ. ის ასევე გაუძლებს ტელეფონს, რომელიც არასოდეს დარეგისტრირებულა.
როცა ტელეფონს ცდაც კი არ უნდა შეეძლოს, გჭირდებათ მართული პოლიტიკა
მცდელობის შეჩერებას სჭირდება მხარდაჭერილი აღსრულების პოლიტიკა, რომელიც ფარავს აპს ან დანიშნულებებს კავშირამდე, გვირაბის უკმარისობის დროს და ქსელის ცვლილების შემდეგ. სთხოვეთ VPN-ის ან მოწყობილობების მართვის პროვაიდერს, დაასახელოს ეს პოლიტიკა, თქვას, სჭირდება თუ არა ორგანიზაციული მართვა, და აღწეროს, კიდევ რაზე მოქმედებს ის. აპის მიხედვით გვირაბი პლუს მოთხოვნით წესი ერთი და იგივე არ არის, და მთავარი ეკრანის მალსახაც კავშირზე არ არის.
შეამოწმეთ უკმარისობის შემთხვევა გვირაბის გამორთვით და დაკვირვებით, გადის თუ არა მოთხოვნა გარეთ. თუ გადის, თქვენ მიერ დოკუმენტირებული საზღვარი არ არის ის საზღვარი, რომელიც განათავსეთ.
გადაწყვიტეთ სამი კითხვით
პირველი, აკონტროლებთ სერვისს თუ მხოლოდ ტელეფონს? მეორე, შეიძლება მოწყობილობამ კანონიერად გამოიყენოს საჯარო ინტერნეტი ყველა დანარჩენისთვის? მესამე, ტელეფონი მართულია და ვის მიერ? სერვისის ფლობა პლუს მართული პარკი ნიშნავს, რომ ნებისმიერი ფენა ხელმისაწვდომია, ხოლო მხოლოდ ტელეფონის ფლობა კლიენტურ პოლიტიკას ერთადერთ ვარიანტად აქცევს და ის მხარდაჭერილი უნდა იყოს.
უპასუხეთ ამ სამს, სანამ პროფილს შეეხებით. მაშინ კონფიგურაცია წყვეტს იმის გამოცნობას, რას ნიშნავს Never სახელის მქონე მოსანიშნი უჯრა.