iPhone VPN pagal domenus: nuspręskite, kur įvyksta atmetimas
NeverConnect sustabdo VPN paleidimą; jis neužblokuoja svetainės. Nuspręskite, ar atmetimas priklauso paslaugos ribai, ar valdomai politikai.
Du reikalavimai užrašomi kaip vienas sakinys, o paskui įgyvendinami visiškai skirtingose vietose. „Ši svetainė turi būti pasiekiama tik per VPN“ yra teiginys apie priėmimą, ir natūralūs jo namai yra tinklas priešais paslaugą. „Šis iPhone niekada neturi tiesiogiai susisiekti su tuo domenu“ yra teiginys apie įrenginį, ir jį gali išreikšti tik valdoma kliento politika. Nuspręskite, kurį iš jų iš tikrųjų turite, prieš atidarydami profilio redaktorių.
Du reikalavimai, skambantys vienodai
Paimkite iliustracinį mazgą records.corp.example. Priėmimo atveju jį skelbiate tik adresams už VPN, todėl tiesioginis bandymas iš telefono korinio tinkle žlunga tinkle, o ta pati užklausa per tunelį pavyksta ir vis tiek reikalauja tikro prisijungimo prie paskyros. Įrenginio atveju telefonas gali pasiekti viešąjį internetą, todėl mazgas išsprendžiamas ir atsako visiems, o vienintelė vieta bandymui sustabdyti yra įrenginys. Paslauga negali taikyti taisyklės užklausai, kuri niekada jos nepasiekia.
Neteisingas reikalavimo perskaitymas pasireiškia konkrečiu diegimu. Įrašas vis dar viešas, operatorius tiki, kad VPN yra privalomas, o korinio bandymo auditas rodo, kad užklausa niekada nepateko į tunelį. Žurnaluose niekas neatrodo sulaužyta, nes niekas nebuvo užblokuota.
Skaitykite vertinimo veiksmus pažodžiui
Pagal užklausą veikiantis mechanizmas turi du atskirus veiksmų sluoksnius, ir jų painiojimas čia sukelia didžiausią sumaištį. Išorinės taisyklės veiksmas nusprendžia, kas nutinka tuneliui, kai taisyklė atitinka, o ryšio vertinimo veiksmas nusprendžia, kas nutinka mazgo vardo atitikimui vertinimo taisyklėje. Apple Never Connect nuoroda aprašo tik antrąjį sluoksnį.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect yra reikšmė, kuri dažniausiai perskaitoma neteisingai, nes pavadinimas sufleruoja blokavimą. Ji valdo tunelio paleidimą atitinkančiam mazgo vardui, o ne telefono leidimą pasiekti vardą, todėl Never Connect įrašas nėra domeno blokavimas. Taip jį pavadinti projektiniame dokumente yra būdas patvirtinti diegimą su vykdymo riba, kurios jis neturi.
Kai paslauga priklauso jums, vykdykite prie ribos
Priėmimo ribojimas reiškia vardo skelbimą tik ten, kur VPN kelias gali jį pasiekti, o paskui patikrinimą, kad numatytas kelias veikia, o kitas kelias ne. Aprėpkite kiekvieną paskelbtą įrašą, abi adresų šeimas, jei jas skelbiate, ir bet kokį tarpinį ar alternatyvų vardą, kurį naudoja programa. Senas CNAME, vis dar nukreiptas į viešą apkrovos balansuotoją, palaiko tiesioginį kelią gyvą, kad ir koks tvarkingas būtų pagrindinis įrašas.
Tai saugo paslaugą, o ne įrenginį. Tai nesustabdo telefono siųsti DNS užklausos ir nesustabdo programos bandyti. Jei tie bandymai priimtini, vykdymas prie ribos yra pigesnis ir patvaresnis pasirinkimas, nes galioja kiekvienam klientui, o ne tik tiems, kuriuos sukonfigūravote. Jis taip pat išgyvena telefoną, kuris niekada nebuvo užregistruotas.
Kai telefonas net neturi bandyti, jums reikia valdomos politikos
Bandymo sustabdymui reikia palaikomos vykdymo politikos, apimančios programą ar paskirties vietas prieš prisijungimą, tunelio gedimo metu ir po tinklo pasikeitimo. Paprašykite VPN ar įrenginių valdymo teikėjo įvardyti tą politiką, pasakyti, ar jai reikia organizacinio valdymo, ir aprašyti, ką dar ji veikia. Tunelis pagal programą ir taisyklė pagal užklausą nėra tas pats, o pagrindinio ekrano nuoroda į ryšį taip pat ne.
Išbandykite gedimo atvejį išjungdami tunelį ir stebėdami, ar užklausa išeina. Jei išeina, riba, kurią dokumentavote, nėra riba, kurią įdiegėte.
Nuspręskite trimis klausimais
Pirma, ar kontroliuojate paslaugą, ar tik telefoną? Antra, ar įrenginys gali teisėtai naudoti viešąjį internetą viskam kitam? Trečia, ar telefonas valdomas, ir kieno? Paslaugos nuosavybė ir valdomas parkas reiškia, kad prieinamas bet kuris sluoksnis, o tik telefono nuosavybė kliento politiką daro vienintele galimybe, ir ji turi būti palaikoma.
Atsakykite į tuos tris prieš liesdami profilį. Tada konfigūracija nustoja būti spėjimu, ką reiškia varnelė pavadinimu Never.