VPN pagal programėlę valdomose iPhone programėlėse: kas nukreipiama, o kas ne
Programėlės lygmens tunelis seka valdomą programėlę, o ne telefoną. Patikrinkite naudingosios apkrovos susiejimą, valdomą kopiją, pareikalavimo taisykles ir srautus, išeinančius iš programėlės.
VPN pagal programėlę iPhone neįjungia viso telefono. Tai vienos valdomos programėlės ir vienos VPN naudingosios apkrovos susiejimas, sukuriamas diegiant programėlę, o viso kito srautas išlaiko ankstesnį maršrutą. Todėl tas pats telefonas elgiasi nenuosekliai: darbo programėlė atidaro privatų puslapį, o Safari nepasiekia to paties serverio, arba tunelis visai nekeliamas ir programėlė praneša apie skirtąjį laiką, kuris atrodo kaip neteisingi prisijungimo duomenys. Patikros eina nuo plačiausios priežasties žemyn, todėl sustokite ties pirmąja nepavykusia.
Pirmiausia patikrinkite naudingąją apkrovą ir programėlės įrašą
Susiejimas gyvena dviejuose objektuose, ne viename. VPN naudingoji apkrova apibrėžia tunelį: tipą, serverį, autentifikavimą, DNS ir tiekėjo paketo identifikatorių, kai naudojamas pasirinktinis klientas. Programėlės įrašas nurodo į tą apkrovą, o dauguma valdymo konsolių tai siūlo kaip parinktį pagal programėlę programėlės konfigūracijoje, pavadinimu artimai Per-App VPN. Apkrova, į kurią nenurodo nė viena programėlė, pagal programėlę nieko nenukreipia; ji elgiasi kaip įprastas tunelis, kurį kas nors turi paleisti rankiniu būdu.
Perskaitykite abu objektus prieš liesdami telefoną. Patvirtinkite, kad programėlės konfigūracija nurodo į testuojamą apkrovą, o ne į seną jos kopiją, nes po perkėlimo dvigubos apkrovos beveik tais pačiais pavadinimais yra įprastos ir programėlė mielai nurodo į atšauktąją. Tada patvirtinkite, kad konfigūracija pasiekė įrenginį: Nustatymai, Bendra, VPN ir įrenginio valdymas turi rodyti ją kaip įdiegtą profilį. Ten esantis VPN sąrašas nėra testas. Paslauga pagal programėlę paprastai neturi rankinio jungiklio, todėl teisingai įdiegta konfigūracija gali niekada nepasirodyti tarp paleidžiamų VPN. Nebuvimas matomas programėlės įraše ir tame, ar tunelis pakyla pirmosios programėlės užklausos metu.
Viena sąlyga paaiškina daug bilietų: šis modelis reikalauja, kad programėlė ateitų per valdymą. Šalia įdiegta ar asmeniškai įsigyta kopija susiejimo negauna, net jei jos paketo identifikatorius sutampa. Apple VPN diegimo vadovas aprašo už to esantį apkrovos modelį (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).
Patvirtinkite, kad įdiegta programėlė yra valdoma kopija
Susiejimas seka įdiegtą, valdomą programėlę. Jei kas nors ją iš naujo įdiegė iš App Store su asmeniniu Apple ID, pakeitė iš naujo pasirašytu įmonės rinkiniu arba įrenginys buvo iš naujo užregistruotas ir programėlė grįžo kitu kanalu, tunelis gali likti žemai, nors pati programėlė atrodo visiškai įprastai.
Testuokite lygindami, o ne vienu stebėjimu. Valdymo inventorinje programėlė turi būti rodoma kaip valdoma tam įrenginiui su VPN susiejimu jos įraše. Telefone tunelis turi pakilti paleidus programėlę ir išėjus pirmajai jos užklausai, o ne tik tada, kai kas nors Nustatymuose paleidžia atskirą rankinę konfigūraciją. Jei programėlės paleidimas nieko nekeičia, o ta rankinė konfigūracija keičia, programėlė visai nesusieta su tuneliu pagal programėlę.
Atnaujinimai svarbūs: per valdymą siųstas išlaiko susiejimą, o vartotojo pradėtas diegimas iš naujo gali jį prarasti. Kai skundas datuojamas nuo atnaujinimo, prieš tinklą patikrinkite programėlės įrašą.
Patikrinkite, ką tunelis gali paimti
Tunelis pagal programėlę parenkamas pagal šaltinio programėlę, todėl numatytasis telefono maršrutas vis dar priklauso Wi-Fi arba mobiliajam tinklui. OverridePrimary yra raktas, kuris tai keičia. Kai profilis jį nustato, tunelis elgiasi kaip visas tunelis ir kiekviena programėlė jį paveldi, todėl viskas, kas eina per VPN, tampa profilio, o ne programėlės gedimo klausimu.
Pareikalavimo taisyklės lemia patvarumą. OnDemandEnabled ir jo taisyklių rinkinys grąžina tunelį, kai programėlė siunčia srautą, atlaiko perėjimą iš Wi-Fi į mobilųjį tinklą arba nuleidžia jį, kai programėlė nueina į foną. Diegimas, kuris prisijungia ir po to tyliai miršta, paprastai turi taisyklę, atitinkančią tik zondą, kuris niekada nesuveikia, kol programėlė neaktyvi.
Tada sąžiningai perskaitykite maršrutų pusę. Jei tiekėjo ar pardavėjo profilis pateikia įtraukimo sąrašą, tunelis, nešantis tik 10.20.0.0/16, neneš paslaugos 10.30.0.0/16 tinkle; tai sąrašas atlieka savo darbą, o ne gedimas pagal programėlę. Įtaisytasis iOS profilis neturi įtraukimo sąrašo. Be jo skaidymas vadovaujasi tiekėjo numatytosiomis reikšmėmis ir IncludeAllNetworks, o ne paslėptu sąrašu.
Išbandykite programėlę, tada tai, kas iš jos išeina
Testuokite pagal vardą, o ne tik pagal adresą. Vidinio serverio išsprendimas valdomoje programėlėje įrodo, kad ir DNS ėjo per tunelį, nes apkrova nustato, kuris resolveris atsakys ir kurie paieškos domenai galios. Maršrutizavimas gali būti tobulas, o vardo paieška nepavyksta, ir abu simptomai rodo skirtingus nustatymus.
Tada išbandykite ribą iš abiejų pusių. Asmeninė programėlė arba Safari turėtų pasiekti įprastą viešą puslapį ir pranešti operatoriaus ar namų adresą, o valdoma programėlė pasiekia privatų servisą. Jei abi praneša tą patį viešą adresą, tunelis jau ne pagal programėlę, ką bebūtų teigiama programėlės įraše.
Srautai, išeinantys iš programėlės, sukuria painius bilietus. Nuoroda, atidaroma Safari, dokumentas, perduotas per bendrinimo lapą, arba SSO prisijungimas, pereinantis į naršyklę, palieka programėlės procesą ir kartu tunelį. Programėlėje rodomas prisijungimas paprastai priskiriamas programėlei, todėl įterptas prisijungimas gali pavykti ten, kur tas pats URL nepavyksta Safari; patikrinkite, o ne manykite. Kai tapatybės tiekėjas pasiekiamas tik per tunelį, laikykite prisijungimą programėlėje arba pridėkite tiekėjo domeną prie apkrovos Safari domenų, kad atitinkamas Safari srautas būtų sugautas.
Pritaikykite simptomą sluoksniui
Gedimo forma pasako, kurią patikrą kartoti.
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
Už vidurinių eilučių yra dvi detalės: tunelis pagal programėlę gali būti sveikas ir vis tiek praleisti potinklį, kurio nėra jokiame tiekėjo sąraše, o valdomas telefonas gali turėti daugiau nei vieną VPN konfigūraciją, todėl patvirtinkite, prie kurios programėlė pririšta, o ne manykite, kad tai ta, kurią skaitote.
Taisykite tokia tvarka: sutaisykite programėlės įrašą, kad jis nurodytų į veikiančią apkrovą, iš naujo įdiekite programėlę per valdymą, patvirtinkite, kad tunelis pakyla pirmosios programėlės užklausos metu, tada pakartokite vardo ir ribos testus. Jei pirmoji užklausa visai negali paleisti tunelio, sustokite ir patikrinkite tiekėjo pusę, nes pasirinktiniam klientui reikia esančio Network Extension ir identifikatoriaus, atitinkančio įdiegtą programėlę.
Grąžinkite tris faktus, o ne ekrano kopiją: į kurią apkrovą nurodo programėlės įrašas, ar Nustatymai rodo ją kaip įdiegtą profilį ir kokia buvo nepavykusi užklausa – vardas, adresas ar perdavimas naršyklei. Šie trys atsakymai atskiria diegimo klaidą nuo maršrutizavimo klaidos, ir kitas žmogus gali veikti nekartodamas diagnostikos.