iPhone VPN домен бойынша: бас тартудың қайда болатынын шешіңіз
NeverConnect VPN-нің іске қосылуын тоқтатады; ол веб-сайтты бұғаттамайды. Бас тарту қызмет шекарасына ма әлде басқарылатын саясатқа ма жататынын шешіңіз.
Екі талап бір сөйлем ретінде жазылады, содан кейін мүлде басқа жерлерде жүзеге асырылады. «Бұл сайтқа тек VPN арқылы қол жеткізуге болуы керек» — бұл рұқсат туралы мәлімдеме, оның табиғи орны — қызметтің алдындағы желі. «Бұл iPhone ешқашан сол доменге тікелей хабарласпауы керек» — бұл құрылғы туралы мәлімдеме, оны тек басқарылатын клиенттік саясат білдіре алады. Профиль редакторын ашпас бұрын қайсысы сізде бар екенін шешіңіз.
Бірдей естілетін екі талап
Мысал ретіндегі хост records.corp.example алайық. Рұқсат жағдайында оны тек VPN артындағы мекенжайларға жариялайсыз, сондықтан ұялы желідегі телефоннан тікелей әрекет желіде сәтсіз аяқталады, ал сол сұраныс туннель арқылы сәтті өтіп, әлі де нақты тіркелгіге кіруді талап етеді. Құрылғы жағдайында телефон жалпыға қолжетімді интернетке шыға алады, сондықтан хост барлығына шешіліп, жауап береді, ал әрекетті тоқтататын жалғыз орын — құрылғының өзі. Қызмет өзіне ешқашан жетпейтін сұранысқа қатысты ережені орындай алмайды.
Талапты қате оқу нақты орналастыру ретінде көрінеді. Жазба әлі де жалпыға ашық, оператор VPN міндетті деп санайды, ал ұялы әрекеттің аудиті сұраныс туннельге ешқашан кірмегенін көрсетеді. Журналдарда ештеңе бүлінген көрінбейді, өйткені ештеңе бұғатталмады.
Бағалау әрекеттерін сөзбе-сөз оқыңыз
Сұраныс бойынша жұмыс істейтін механизмнің екі бөлек әрекет қабаты бар және оларды араластыру осындағы шатасудың көбін тудырады. Сыртқы ереже әрекеті ереже сәйкес келгенде туннельге не болатынын шешеді, ал қосылымды бағалау әрекеті бағалау ережесінің ішінде хост атауының сәйкестігіне не болатынын шешеді. Apple-дың Never Connect анықтамасы тек екінші қабатты сипаттайды.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect ең жиі қате оқылатын мән, өйткені атау бұғаттауды меңзейді. Ол сәйкес келетін хост атауы үшін туннельді іске қосуды реттейді, телефонның атауға жету рұқсатын емес, сондықтан Never Connect жазбасы доменді бұғаттау емес. Дизайн құжатында оны солай атау — орналастырудың өзінде жоқ орындау шекарасымен мақұлдануының жолы.
Қызмет сіздікі болса, шекарада орындаңыз
Рұқсатты шектеу дегеніміз — атауды тек VPN жолы жете алатын жерде жариялау, содан кейін көзделген жолдың жұмыс істейтінін, ал басқа жолдың жұмыс істемейтінін тексеру. Әрбір жарияланған жазбаны, егер жарияласаңыз, екі мекенжай тобын және қолданба пайдаланатын кез келген аралық немесе балама атауды қамтыңыз. Жалпыға қолжетімді жүктеме теңестіргішіне әлі сілтейтін ескі CNAME негізгі жазба қаншалықты ретті болса да, тікелей жолды тірі ұстайды.
Бұл құрылғыны емес, қызметті қорғайды. Ол телефонның DNS сұрауын жіберуіне кедергі болмайды және қолданбаның әрекет жасауына кедергі болмайды. Егер бұл әрекеттер қолайлы болса, шекарада орындау арзанырақ және төзімдірек таңдау, өйткені ол сіз конфигурациялаған клиенттерге ғана емес, әрбір клиентке қолданылады. Ол тіркелмеген телефонда да жұмыс істейді.
Телефон тіпті әрекет жасамауы керек болса, сізге басқарылатын саясат қажет
Әрекетті тоқтату үшін қосылымға дейін, туннель ақаулығы кезінде және желі өзгергеннен кейін қолданбаны немесе мақсаттарды қамтитын қолдау көрсетілген орындау саясаты қажет. VPN немесе құрылғыны басқару провайдерінен сол саясатты атауды, оның ұйымдық басқаруды талап ететінін айтуды және тағы неге әсер ететінін сипаттауды сұраңыз. Қолданба бойынша туннель және сұраныс бойынша ереже бір нәрсе емес, басты экрандағы қосылымға жылдам таңдау да емес.
Туннельді өшіріп, сұраныстың сыртқа шығатынын бақылау арқылы ақаулық жағдайын тексеріңіз. Егер шықса, сіз құжаттаған шекара — орналастырған шекараңыз емес.
Үш сұрақпен шешіңіз
Біріншіден, қызметті әлде тек телефонды бақылайсыз ба? Екіншіден, құрылғы қалған барлық нәрсе үшін жалпыға қолжетімді интернетті заңды түрде пайдалана ала ма? Үшіншіден, телефон басқарылады ма және кіммен? Қызметке ие болу және басқарылатын парк кез келген қабаттың қолжетімді екенін білдіреді, ал тек телефонға ие болу клиенттік саясатты жалғыз нұсқа етеді және ол қолдауға ие болуы керек.
Профильге тиіспес бұрын сол үшеуіне жауап беріңіз. Сонда конфигурация Never деп аталатын құсбелгінің не білдіретіні туралы болжам болудан қалады.