iPhone-тағы Always On VPN және VPN On Demand: нені орналастыру керек

On Demand ережелері сәйкес келгенде туннель ашады; басқарылатын Always On қадағаланатын құрылғыларда қамтуды мәжбүрлейді. Біреуін таңдап, жұмысын дәлелдеуге арналған нұсқаулық.

Екі iPhone да VPN деп айта алады, бірақ мүлдем басқаша әрекет етеді. On Demand ереже сәйкес келгенде туннель ашады, ал пайдаланушы оны Параметрлерден әлі де өшіре алады. Басқарылатын Always On қадағаланатын құрылғыда туннель көтеріле алмайтын сәттерде де қамтуды мәжбүрлі ұстайды. Пайдаланушы ештеңе жасамағанда ненің ақиқат болуы керегін сұрап таңдаңыз, содан кейін тұрақты күйді емес, ауысуларды тексеріңіз. Төмендегі қадамдар орналастыру шынымен сәтсіз болатын ретпен жүреді.

1-қадам: құрылғы нені мәжбүрлей алатынын анықтаңыз

Always On — қадағаланатын құрылғыларға арналған мүмкіндік. Егер парк қадағалауда болмаса, әңгіме басталмай жатып бітеді, және ешбір payload кілті қадағаусыз телефонды мәжбүрленгенге айналдырмайды. Қадағалауды басқару жағынан және құрылғының өзінен растаңыз, содан кейін профильге кім қол қойғанын растаңыз.

Телефонда: Параметрлер, содан кейін Жалпы, содан кейін VPN және құрылғыны басқару. Профиль жазбасы өз иесін атайды, ал қолмен орнатылған жеке профиль басқару қызметі жеткізгеннен өзгеше көрінеді. Мәжбүрлеуді профиль атынан немесе провайдердің маркетингтік белгісінен шығармаңыз; белгі — платформаның саясаты емес.

Конфигурацияға қол тигізбес бұрын үш факті жазыңыз: қадағалауда ма әлде жоқ па, басқарылатын әлде жеке профиль, және туннельді қай клиент тасымалдайды. Әрбір келесі қадам осы үшеуіне байланысты, ал мінез-құлықты жеке телефоннан басқарылатын профильге көшіру — орналастыруды дұрыс емес негізге қарсы бекіту жолы.

2-қадам: мүмкіндік атын емес, on-demand ережелерін оқыңыз

On Demand — ретімен бағаланатын ережелер тізімі. Әр ереже әрекетті және оны таңдайтын шарттарды атайды, ал шарттар — ең қызық бөлігі: интерфейс түрі, Wi-Fi SSID, DNS домен суффиксі немесе тексеру URL-і. Ешқашан сәйкес келмейтін ереже жиынтығы — ешқашан қосылмайтын мүмкіндік.

<key>OnDemandRules</key>
<array>
  <dict>
    <key>Action</key><string>EvaluateConnection</string>
    <key>InterfaceTypeMatch</key><string>WiFi</string>
    <key>SSIDMatch</key><array><string>Office-WiFi</string></array>
  </dict>
</array>

Бүкіл массивті оқып, әр ережеге екі сұрақ қойыңыз: бұл шарт осы паркта қашанда ақиқат бола ала ма, және ешбір ереже сәйкес келмесе не болады? Кәсіпорын желілері кіру нүктелерін қайта атайды, SSID-лерді біріктіреді және DNS суффикстерін өзгертеді, және осы өзгерістердің әрқайсысы ережені шындықтан үнсіз ажыратады.

DNS суффиксі шарты далада ең жиі қате болады, өйткені қонақ желіде телефон хабарлайтын суффикс корпоративтік шешуші қызмет көрсететін суффикс емес. Ережеге сенбес бұрын құрылғы шын мәнінде шешетін атауды тексеріңіз.

3-қадам: статикалық қосылымды емес, ауысуларды тексеріңіз

Сіз қарап тұрғанда көтерілген туннель азды-көпті дәлелдейді. Әрбір ауысуды әдейі орындаңыз және құрылғының не істейтінін жазыңыз, нәтижелер салыстырылуы үшін әр жолы сол жеке ресурсты пайдаланыңыз:

  • Ереже сәйкес келуі тиіс желіге қосылыңыз, содан кейін жеке ресурсты сұрап, оның жүктелетінін растаңыз.
  • Қолданба артқы жоспарда тұрғанда ұялы желіге ауысыңыз, содан кейін оны алдыңғы жоспарға шығарып, сұранысты қайталаңыз.
  • Captive portal бар Wi-Fi-ға қосылып, порталға жетуге бола ма әлде мәжбүрлеу оны аутентификацияға дейін бөгей ме, соны қараңыз.
  • Қадағаланатын құрылғыда туннельді қолмен өшіріп, ол өздігінен қайта ма және қаншалықты жылдам екенін тексеріңіз.

Егер бар болса, сол тізімді қадағаусыз құрылғыда орындаңыз. Екі нәтиженің айырмасы — орналастырудың нақты мінез-құлқы, және қосылған туннельдің скриншоты мұны ешқашан көрсетпейді.

4-қадам: сәтсіздіктің екі түрін біліңіз

Мәжбүрлі қамту бөгеу арқылы сәтсіз болады. Туннель орнамағанда құрылғы жеке ресурстармен бірге қарапайым интернет қатынасын жоғалтады, ал пайдаланушы онлайн, бірақ шолуға қабілетсіз телефонды көреді. Қайта қосылу мен бөгеу — бөлек бақылаулар, сондықтан екеуін де жазыңыз, интернеттің жоқтығын бір симптом деп қарамаңыз.

On Demand іске қосылмау арқылы сәтсіз болады. Ереже сәйкес келмейді, туннель пайда болмайды, жеке ресурс жай ғана мерзімі бітеді. Мұны сервер мәселесі деп қате диагностикалау оңай, өйткені клиент конфигурацияланғандай әрекет етеді.

Captive portal екеуінің ортасында тұрады: оған туннель пайда болмай тұрып қосылым қажет, сондықтан туннель көтерілгенше бәрін бөгейтін саясатқа портал арқылы құжатталған жол қажет. Мұны дизайнда шешіңіз, көмек үстелінде емес.

5-қадам: тексеріңіз, содан кейін кері қайтаруды жаттығыңыз

Тексеру зиянсыз трафикпен нақты жолда жүргізіледі: жария болмауы тиіс жеке ресурсты сұраңыз, құрылғы сыртқа қандай мекенжай ұсынатынын растаңыз және қайта іске қосқаннан кейін қайталаңыз, осылайша іске қосылу ретін көресіз, тек жылы күйді емес.

Содан кейін өндірісте қажет болмай тұрып, сынақ құрылғысында жоюды жаттығыңыз. Профильді жою құрылғыны алдыңғы күйіне қайтарады, ал оның қанша уақыт алатынын және пайдаланушы нені көретінін білу runbook-тың бөлігі. Apple-дың VPN қауіпсіздік нұсқаулығы — платформаның осы саясаттар туралы құжаттайтынының сілтемесі, және платформадан артық мәлімдейтін конфигурация жазбас бұрын оны оқыған жөн.

Бірінші қадамның үш фактісін ереже жиынтығы мен сынақ нәтижелерінің қасында ұстаңыз. Келесі адам телефон неге бір желіде қосылып, екіншісінде қосылмайтынын сұрағанда, бұл жазбалар қайта құрудың орнына бір минутта жауап береді.

Қатысты мақалалар