Per-App-VPN op verwaltete iPhone-Appen: wat gerout gëtt a wat net
En Per-App-Tunnel follegt der verwalteter App, net dem Telefon. Iwwerpréift d'Payload-Zouuerdnung, déi verwaltet Kopie, d'On-Demand-Regelen an d'Flëss, déi d'App verloossen.
Per-App-VPN op iPhone ass keen Ausschalter fir dat ganzt Telefon. Et ass eng Zouuerdnung tëschent enger verwalteter App an engem VPN-Payload, déi beim Ausrullen vun der App entsteet, an den Trafic vun allem aneren hält déi fréier Route. Dofir verhält sech dat selwecht Telefon inkonsistent: d'Aarbechtsapp mécht eng privat Säit op, während Safari den neescht Host net erreecht, oder den Tunnel kënnt guer net erop an d'App mellt en Timeout, dee wéi falsch Umeldungsdaten ausgesäit. D'Kontrollen ginn vun der breedster Ursaach no ënnen, also stoppt bei der éischter, déi feelt.
Iwwerpréift als éischt de Payload an den App-Aschreiwung
D'Zouuerdnung lieft an zwee Objeten, net an engem. De VPN-Payload definéiert den Tunnel: Typ, Server, Authentifikatioun, DNS an d'Bündel-ID vum Provider, wann e spezielle Client benotzt gëtt. D'App-Aschreiwung weist op dee Payload, an déi meescht Management-Konsolen bidden dat als Per-App-Optioun an der App-Konfiguratioun un, mat engem Numm no bei Per-App VPN. E Payload, op deen keng App weist, routet näischt pro App; et verhält sech wéi en normale Tunnel, deen een vun Hand muss starten.
Liest béid Objeten, ier Dir d'Telefon beréiert. Bestätegt, datt d'App-Konfiguratioun op de Payload weist, deen Dir testt, an net op eng al Kopie, well duebel Payloaden mat bal identeschen Nimm no enger Migratioun heefeg sinn an d'App gär op deen ausgemustert weist. Bestätegt duerno, datt d'Konfiguratioun den Apparat erreecht huet: Astellungen, Allgemeng, VPN an Apparatsverwaltung mussen en als installéierte Profil weisen. D'VPN-Lëscht do ass net den Test. En Per-App-Service huet meeschtens keen Handschalter, sou datt eng korrekt ausgerullte Konfiguratioun vläicht ni tëscht den startbaren VPNs erschéngt. D'Feele gesäit een an der App-Aschreiwung an dorun, ob den Tunnel bei der éischter Ufro vun der App eropkënnt.
Eng Bedingung erkläert vill Ticketen: dëst Modell brauch, datt d'App iwwer d'Verwaltung kënnt. Eng Kopie, déi säitlech installéiert oder perséinlech kaaft gouf, kritt d'Zouuerdnung net, och wann hir Bündel-ID entsprécht. Dem Apple säi Deployment-Guide fir VPN beschreift de Payload-Modell hannendrun (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).
Bestätegt, datt déi installéiert App déi verwaltet Kopie ass
D'Zouuerdnung follegt der installéierter, verwalteter App. Wann een se mat enger perséinlecher Apple ID aus dem App Store nei installéiert huet, duerch en nei ënnerschriwwene Betribs-Build ersat huet, oder den Apparat nei registréiert gouf an d'App iwwer en anere Kanal zréckkoum, kann den Tunnel ënnen bleiwen, während d'App selwer ganz normal ausgesäit.
Testt duerch Verglach, net duerch eng eenzeg Observatioun. Am Management-Inventaire muss d'App fir deen Apparat als verwalt erschéngen, mat der VPN-Mapping an hirer Aschreiwung. Op der Telefon muss den Tunnel eropkommen, wann d'App gestart gëtt an hir éischt Ufro erausgeet, net nëmmen wann een eng separat manuell Konfiguratioun an den Astellungen startet. Wann d'Starte vun der App näischt ännert an déi manuell Konfiguratioun schonn, ass d'App guer net un en Per-App-Tunnel gebonnen.
Aktualiséierungen zielen: eng duerch d'Verwaltung geschéckt behält d'Mapping, während eng vum Benotzer gestart Neuinstallatioun se verléiere kann. Wann d'Beschwäerd vun enger Aktualiséierung datéiert, préift d'App-Aschreiwung virum Netzwierk.
Iwwerpréift, wat den Tunnel huelen däerf
En Per-App-Tunnel gëtt duerch d'Quell-App gewielt, also gehéiert d'Standardroute vum Telefon nach ëmmer zum Wi-Fi oder Mobilnetz. OverridePrimary ass de Schlëssel, deen dat ännert. Wann e Profil en setzt, verhält sech den Tunnel wéi en vollstännegen Tunnel an all App ierft en, sou datt alles iwwer d'VPN eng Profilfro gëtt an net en App-Fehler.
On-Demand-Regelen entscheeden iwwer d'Bestännegkeet. OnDemandEnabled an säi Regelset bréngen den Tunnel zréck, wann d'App Trafic schéckt, iwwerstinn den Wiessel vu Wi-Fi op Mobilnetz oder falen, wann d'App an den Hannergrond geet. En Deployment, deen sech verbënnt an duerno roueg stierft, huet meeschtens eng Regel, déi nëmmen op eng Sonde passt, déi ni lassgeet, während d'App roueg ass.
Liest duerno d'Routensäit éierlech. Wann e Provider- oder Vendor-Profil eng Inklusiounslëscht liwwert, dréit en Tunnel mat nëmmen 10.20.0.0/16 kengem Service an 10.30.0.0/16; dat ass d'Lëscht, déi hir Aarbecht mécht, keen Per-App-Fehler. Den agebaute iOS-Payload huet keng Inklusiounslëscht. Ouni eng follegt d'Opdeelung de Provider-Standarder an IncludeAllNetworks, net enger verstoppter Lëscht.
Testt d'App an duerno, wat se verléisst
Testt mat engem Numm, net nëmme mat enger Adress. En internen Host an der verwalteter App opzeléisen beweist, datt och DNS duerch den Tunnel gaangen ass, well de Payload bestëmmt, wéi en Resolver äntwert a wéi eng Sichdomänen ugewannt ginn. D'Routéierung kann perfekt sinn, während d'Numsich feelt, an déi zwee Symptomer weisen op ënnerschiddlech Astellungen.
Testt duerno d'Grenz vun zwou Säiten. Eng perséinlech App oder Safari sollt eng gewéinlech ëffentlech Säit erreechen an d'Adress vum Bedreiwer oder doheem mellen, während déi verwalt App de private Service erreecht. Wann béid déi selwecht ëffentlech Adress mellen, ass den Tunnel net méi pro App, wat d'App-Aschreiwung och behaapt.
Flëss, déi d'App verloossen, maachen déi verwiesselt Ticketen. E Link, deen a Safari opgeet, en Dokument, dat iwwer de Partageblatt iwwergi gëtt, oder eng SSO-Umeldung, déi op e Browser wiesselt, verléisst de Prozess vun der App an den Tunnel mat him. Eng Umeldung, déi an der App gewise gëtt, gëtt meeschtens der App zougeschriwwen, sou datt eng agebaut Umeldung do klappen kann, wou déiselwecht URL a Safari feelt; verifizéiert dat amplaz et unzehuelen. Wann den Identitéitsprovider nëmmen iwwer den Tunnel erreechbar ass, hält d'Umeldung entweder an der App oder füüt dem Provider seng Domän zu de Safari-Domäne vum Payload bäi, sou datt passenden Safari-Trafic agefangen gëtt.
Passt d'Symptom un d'Schicht un
D'Form vum Fehler seet Iech, wéi eng Kontroll Dir widderhuelen musst.
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
Hannert de mëttlere Reihen stinn zwee Detailer: en Per-App-Tunnel kann gesond sinn an trotzdem en Ënnersubnetz verpassen, dat keng Provider-Lëscht enthält, an eng verwalt Telefon kann méi wéi eng VPN-Konfiguratioun halen, also bestätegt, u wéi eng d'App gebonnen ass, amplaz unzehuelen, et wier déi, déi Dir liest.
Reparéiert an dëser Reiefolleg: korrigéiert d'App-Aschreiwung, sou datt se op de liewegen Payload weist, installéiert d'App iwwer d'Verwaltung nei, bestätegt, datt den Tunnel bei der éischter Ufro vun der App eropkënnt, an widderhëlt duerno d'Nimm- an d'Grenztester. Wann déi éischt Ufro guer keen Tunnel starte kann, stoppt a préift d'Providersäit, well e spezielle Client brauch säin Network Extension present an seng ID passend zu der installéierter App.
Gitt dräi Fakten zréck amplaz engem Screenshot: op wéi en Payload d'App-Aschreiwung weist, ob d'Astellunge se als installéierte Profil weisen, a wat déi feelgeschloe Ufro war, en Numm, eng Adress oder eng Browser-Iwwergab. Déi dräi Äntwerten trennen en Deployment-Fehler vun engem Routéierungsfehler, an déi nächst Persoun kann handelen, ouni d'Diagnos ze widderhuelen.