iPhone-App fënnt keng lokal Geräter, wann de VPN un ass
Zwou Paarte bestëmmen, ob eng iPhone-App iwwer eng VPN en Drock oder en Fernsee erreecht: d'Erlaabnes fir Lokalnetz an d'Routen vum Tunnel selwer. Préif se an der Reiefolleg.
Deng Drock-App weist eng eidel Lëscht, d'Kamera-App mellt, datt kee Gerät fonnt gouf, an de Cast-Knäppchen an enger Video-App dréit, bis hien opgëtt. D'VPN-Symbol steet an der Statusleescht, den Telefon huet voll Signal an de Safari lued Säiten ouni Problem, also schéngt bei der Verbindung näischt futti. Duerno méchs du d'Astellunge vun der App op a fënns näischt fir ëmzeschalten.
Ech sinn direkt géint dës Mauer gelaf mat engem Etikette-Drock an engem Heemnetzwierk: Der App gouf ni Zougrëff op d'Lokalnetz ginn, an d'Profil, dat ech getest hunn, war en vollen Tunnel, deen all Paket verschléckt huet, dat op 192.168.1.0/24 adresséiert war. Zwee onofhängeg Paarte ware zou, an een opzemaache géif d'Symptom net ophiewen.
Zwee Paarten tëscht enger App an engem Drock
Déi éischt Paart ass eng Privatsphär-Entscheedung, déi zum Betribssystem gehéiert, net zu der App. iOS entscheet, ob eng App Verkéier op Adressen am Lokalnetz schécke darf, a freet de Benotzer beim éischten Versuch vun der App. Déi zweet Paart ass d'Routingtabell. E Paket op 192.168.1.50 geet entweder iwwer Wi-Fi Richtung Drock eraus oder et geet an den Tunnel, an déi Wiel steet am VPN-Profil.
Déi zwou Paarten versoe sech op verschidde Manéieren, an dat ass just wat d'Diagnos méiglech mécht. Eng refuséiert Erlaabnes erschléit den eegene Socket-Opruff vun der App, also huet d'App näischt ze mellen an fält op en allgemenge leeren Zoustand zeréck. E Routingproblem gesäit aus wéi en Timeout, well d'Paketen den Telefon verlooss hunn a séier op der anerer Säit gestuerwen sinn. Deemools en eidelen Ecran, eng aner Reperatur.
Lies den Erlaabnesstatus, ier s du d'VPN beréiers
Maach Astellungen op, duerno Privatsphär a Sécherheet, duerno Lokalnetz. All App, déi Zougrëff ugefrot huet, erschéngt do mat engem Schalter. Apple huet Deeler vun dësem Écran tëscht iOS 14 an iOS 18 geréckelt an ëmbenannt, also wann d'Andro net do ass, wou s du se erwaarts, tipp Lokalnetz an d'Sichfeld vun den Astellungen, amplaz de Bam duerchzesichen.
Wat d'Leit am meeschten erwëscht, ass déi eeemoleg Fro. iOS freet, wann eng App d'Lokalnetz fir d'éischt beréiert, an nëmmen dann. Tipp Net erlaben, a d'Fro kënnt beim nächsten Opmaachen net zeréck; de Schalter ass deen eenzege Wee zeréck, an en ass am Ufank aus. Eng Neiinstallatioun vun der App setzt d'Entscheedung zeréck, dofir behaapten e puer Feelerbehiewungs-Fiedem, datt eng Neiinstallatioun d'Entdeckung gefléckt huet. Dat huet se, duerch d'Refusatioun ze läschen.
Op engem iPhone ënner Iwwerwaachung oder Gestioun ass de Schalter heiansdo gro. E Payload mat Privatsphär-Astellungen, deen iwwer MDM geschéckt gëtt, kann den Zougrëff op d'Lokalnetz virastellen oder spärren, an e gespaarten ausgeschalteten Schalter heescht, datt d'Reperatur eng Politikännerung ass an net eng Telefonännerung. Apple dokumentéiert d'Fro an de Schalter pro App hei: support.apple.com/en-us/102229.
Kuck, wat den Tunnel tatsächlech routet
En vollen Tunnel hëlt 0.0.0.0/0 an domat all privat Beräich. Pakete fir 10.x, 172.16.0.0/12 an 192.168.x.x reesen op de Server, deen se meeschtens verwërft oder a säin eegene Subnetz iwwersetzt, also bleift den Drock onereechbar och nodeems s du d'Erlaabnes ginn hues. En gedeelten Tunnel mécht dat Ëmgedréit, awer nëmme fir d'Beräicher, déi d'Profil oplëscht.
IKEv2-Profiler, déi mam Apple Configurator gebaut oder als .mobileconfig verdeelt ginn, drécken dat aus als Astellung fir de ganze Verkéier ze schécken plus, am gedeelte Modus, eng explizit Lëscht vu Lokalnetzer, déi ausgeschloss ginn. Client-Appen, déi op NEPacketTunnelProvider gebaut sinn, drécken déi selwecht Entscheedung iwwer includedRoutes aus. Weder dat engt nach dat anert ass vun der Statusleescht ze gesinn, an déi zwee iwwerschreiwen, wat d'App erwaart ze gesinn.
Dëst ass den Test, deen ech benotzen. Mat verbonnenem VPN maachs du d'Admin-Säit vum Router iwwer seng LAN-Adress am Safari op. Wann ëffentlech Säiten lueden, während déi Säit en Timeout kritt, ass däi private Beräich am Tunnel. Wann d'Säit lued, verléisst de lokale Verkéier den Telefon nach ëmmer iwwer Wi-Fi an d'Blockad ass soss enger Plaz.
Koppel d'Symptom un d'Paart
Zwou Appen op deem selwechten Telefon kënne sech widerspriechen, well d'Erlaabnes pro App gëtt, während d'Routen pro Profil ginn. Vergläich, wat feelt, ier s du eppes änderes: de Muster nennt d'Paart meeschtens selwer.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
D'Zeil mDNS verdéngt eng Notiz. Den Entdeckungsverkéier fir Bonjour an déi meescht Cast-Protokoller geet als Multicast op 224.0.0.251 an ff02::fb mat Link-Local-Beräich, an en gerouteten Tunnel transportéiert en net. Dowéinst kann en Gerät op eng direkt Verbindung äntweren, ouni jeemools an enger Lëscht opzetauchen.
Test d'Operatioun, net d'Symbol
Nodeems s du de Schalter Lokalnetz ëmgesat hues, forcéier d'App aus dem App-Wiessel zou ze maachen a start se nei. En lafende Prozess kann de refuséierten Zoustand vun virun der Ännerung halen, an eng App, déi weider eng eidel Lëscht zréckgëtt, gesäit d'selwecht aus, egal ob d'Erlaabnes gewierkt huet oder net. Féier duerno eng konkret Aktioun aus, wéi eng Testseit drécken oder en Video starten, amplaz ze waarden, bis eng Gerätelëscht voll ass.
Hal de VPN-Profil fest iwwer de Vergläich. Wann d'Entdeckung eréischt funktionéiert, nodeems s du d'Verbindung getrennt hues, hues s du geléiert, datt den Tunnel schold ass, net d'Erlaabnes. Änner pro Versuch eng Variabel, soss seet de nächste Laf dir näischt.
Reparéier et an dëser Reiefolleg
D'Reiefolleg hei drënner ass déi, déi ech elo verfollegen, well se en Telefon ni an engem hallef geännerten Zoustand léisst, wou den nächsten Test net liesbar ass.
- Confirméier, datt d'App ënner Privatsphär a Sécherheet, Lokalnetz opgezielt ass an datt hire Schalter un ass.
- Forcéier zouzemaachen, maach d'App nees op a probéier d'echt Aktioun eng Kéier.
- Maach d'Säit vum Router iwwer d'LAN-Adress op, während s du verbonnen bass, fir ze beweisen, ob de private Beräich duerch den Tunnel geet.
- Wann en duerchgeet, beaarbecht d'Profil fir Lokalnetzer auszeschléissen, oder freeg den Eigner vum Profil, dat ze maachen.
- Wann de Schalter gro ass, behandele d'Gerät als verwalt an deier d'Ufro un den Administrateur.
Meeschtens gëlt just eng dovun. Wann keng d'Resultat ännert, ass déi verbleiwen Verdächtegen d'Netzwierk selwer, wéi Access-Point-Isolatioun oder eng Client-Erlaabnislëscht, déi un Wi-Fi-Adressen hänkt, an d'Tabelle hei uewen weist, wéi eng.