iPhone VPN домен боюнча: баш тартуу кайда болорун чечиңиз
NeverConnect VPN иштей башташын токтотот; ал веб-сайтты блоктобойт. Баш тартуу кызматтын чегиндеби же башкарылуучу саясаттабы экенин чечиңиз.
Эки талап бир сүйлөм катары жазылат, анан такыр башка жерлерде ишке ашырылат. «Бул сайтка VPN аркылуу гана жетүүгө болушу керек» — бул кирүү тууралуу билдирүү, анын табигый орду кызматтын алдындагы тармак. «Бул iPhone эч качан ал доменге түз кайрылбашы керек» — бул түзмөк тууралуу билдирүү, аны башкарылуучу кардар саясаты гана билдире алат. Профиль редакторун ачпастан мурун кайсынысы сизде бар экенин чечиңиз.
Бирдей угулган эки талап
Мисалдагы хост records.corp.example алалы. Кирүү учурунда аны VPN артындагы даректерге гана жарыялайсыз, ошондуктан уюлдук тармактагы телефондон түз аракет тармакта ишке ашпайт, ал эми ошол эле суроо туннелден өтүп ийгиликтүү болот жана дагы эле чыныгы аккаунтка кирүүнү талап кылат. Түзмөк учурунда телефон жалпы интернетке чыга алат, ошондуктан хост баары үчүн чечилип, жооп берет, ал эми аракетти токтотуучу жалгыз жер — түзмөктүн өзү. Кызмат өзүнө эч качан жетпеген суроого карата эрежени аткара албайт.
Талапты туура эмес окуу конкреттүү жайгаштыруу катары көрүнөт. Жазуу дагы эле жарыя, оператор VPN милдеттүү деп эсептейт, ал эми уюлдук аракеттин аудити суроо туннелге эч качан кирбегенин көрсөтөт. Журналдарда эч нерсе бузулгандай көрүнбөйт, анткени эч нерсе блоктолгон жок.
Баалоо аракеттерин сөзмө-сөз окуңуз
Суроо боюнча иштеген механизмдин эки өзүнчө аракет катмары бар жана аларды аралаштыруу бул жердеги башаламандыктын көбүн жаратат. Сырткы эреже аракети эреже дал келгенде туннелге эмне болорун чечет, ал эми байланышты баалоо аракети баалоо эрежесинин ичинде хост аталышынын дал келишине эмне болорун чечет. Apple'дын Never Connect маалымдамасы экинчи катмарды гана сүрөттөйт.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect эң көп туура эмес окулган маани, анткени аталыш блоктоону эске салат. Ал дал келген хост аталышы үчүн туннелди иштетүүнү башкарат, телефондун аталышка жетүү укугун эмес, ошондуктан Never Connect жазуусу доменди блоктоо эмес. Долбоордук документте аны ошентип атоо — жайгаштыруунун өзүндө жок аткаруу чеги менен бекитилишинин жолу.
Кызмат сиздики болсо, чекте аткарыңыз
Кирүүнү чектөө дегенибиз — аталышты VPN жолу жете алган жерде гана жарыялоо, анан көздөлгөн жол иштей турганын, башка жол иштебей турганын текшерүү. Ар бир жарыяланган жазууну, эгер жарыяласаңыз, эки дарек үй-бүлөсүн жана колдонмо колдонгон ар кандай ортоңку же альтернатива аталышты камтыңыз. Жалпы жүктөө теңдештиргичине дагы эле шилтеме кылган эски CNAME негизги жазуу канчалык тартиптүү болбосун, түз жолду тирүү кармайт.
Бул түзмөктү эмес, кызматты коргойт. Ал телефондун DNS суроо жөнөтүшүнө тоскоол болбойт жана колдонмонун аракет кылышына тоскоол болбойт. Эгер бул аракеттер кабыл алынарлык болсо, чекте аткаруу арзаныраак жана туруктуураак тандоо, анткени ал сиз конфигурациялаган кардарларга гана эмес, ар бир кардарга колдонулат. Ал катталбаган телефондо да иштейт.
Телефон аракет кылышы да керек болбосо, сизге башкарылуучу саясат керек
Аракетти токтотуу үчүн байланышка чейин, туннелдин бузулушу учурунда жана тармак өзгөргөндөн кийин колдонмону же максаттарды камтыган колдоого алынган аткаруу саясаты керек. VPN же түзмөктү башкаруу провайдеринен ошол саясатты атоосун, ал уюштуруучулук башкарууну талап кыларын айтуусун жана дагы эмнеге таасир этээрин сүрөттөөсүн сураңыз. Колдонмо боюнча туннел жана суроо боюнча эреже бир нерсе эмес, башкы экрандагы байланышка жарлык да эмес.
Туннелди өчүрүп, суроонун сыртка чыгарын байкоо менен бузулуу учурун текшериңиз. Эгер чыкса, сиз документтеген чек — жайгаштырган чегиңиз эмес.
Үч суроо менен чечиңиз
Биринчиден, кызматты же телефонду гана көзөмөлдөйсүзбү? Экинчиден, түзмөк калган бардык нерсе үчүн жалпы интернетти мыйзамдуу пайдалана алабы? Үчүнчүдөн, телефон башкарылабы жана ким тарабынан? Кызматка ээлик кылуу жана башкарылуучу парк каалаган катмардын жеткиликтүү экенин билдирет, ал эми телефонго гана ээлик кылуу кардар саясатын жалгыз вариант кылат жана ал колдоого алынышы керек.
Профилге тийбестен мурун ошол үчөөгө жооп бериңиз. Ошондо конфигурация Never деп аталган белги кутучасы эмнени билдирери тууралуу божомол болуудан калат.