iPhone lietotne neatrod vietējās ierīces, kad VPN ir ieslēgts
Divi vārti izlemj, vai iPhone lietotne caur VPN sasniegs printeri vai televizoru: Vietējā tīkla atļauja un paša tuneļa maršruti. Pārbaudiet tos pēc kārtas.
Jūsu printera lietotne rāda tukšu sarakstu, kameras lietotne ziņo, ka ierīce nav atrasta, un video lietotnes apraides poga griežas, līdz padodas. VPN ikona atrodas statusa joslā, tālrunim ir pilns signāls un Safari ielādē lapas bez problēmām, tāpēc savienojumā nekas neizskatās salūzis. Tad jūs atverat pašas lietotnes iestatījumus un neatrodat neko, ko pārslēgt.
Es tieši šajā sienā ieskrēju ar etiķešu printeri mājas tīklā: lietotnei nekad nebija piešķirta piekļuve vietējam tīklam, un profils, ko testēju, bija pilns tunelis, kas aprīja katru paketi, kas adresēta 192.168.1.0/24. Divi neatkarīgi vārti bija aizvērti, un vienus atverot simptoms nebūtu pārgājis.
Divi vārti starp vienu lietotni un vienu printeri
Pirmie vārti ir privātuma lēmums, kas pieder operētājsistēmai, nevis lietotnei. iOS izlemj, vai lietotne drīkst sūtīt datplūsmu uz vietējā tīkla adresēm, un jautā lietotājam pirmajā reizē, kad lietotne to mēģina. Otrie vārti ir maršrutēšanas tabula. Pakete, kas adresēta 192.168.1.50, vai nu iziet caur Wi-Fi uz printeri, vai arī ieiet tunelī, un šī izvēle ir ierakstīta VPN profilā.
Abi vārti sabrūk atšķirīgi, un tieši tas padara diagnostiku iespējamu. Liegta atļauja nogalina pašas lietotnes socket izsaukumu, tāpēc lietotnei nav ko ziņot un tā atkrīt uz vispārīgu tukšu stāvokli. Maršrutēšanas problēma izskatās kā noildze, jo paketes pameta tālruni un nomira kaut kur otrā pusē. Tas pats tukšais ekrāns, cits remonts.
Izlasiet atļaujas stāvokli pirms VPN aiztikšanas
Atveriet Iestatījumi, tad Privātums un drošība, tad Vietējais tīkls. Katra lietotne, kas pieprasījusi piekļuvi, parādās tur ar slēdzi. Apple ir pārvietojis un pārdēvējis šī ekrāna daļas starp iOS 14 un iOS 18, tāpēc, ja ieraksts nav tur, kur gaidāt, ierakstiet Vietējais tīkls iestatījumu meklēšanas laukā, nevis pārmeklējiet koku.
Cilvēkus visvairāk pieķer vienreizējais jautājums. iOS jautā, kad lietotne pirmo reizi pieskaras vietējam tīklam, un tikai tad. Pieskarieties Neatļaut, un jautājums nākamajā palaišanā neatgriezīsies; slēdzis ir vienīgais ceļš atpakaļ, un sākumā tas ir izslēgts. Lietotnes pārinstalēšana atiestata lēmumu, tāpēc dažas problēmu risināšanas diskusijas apgalvo, ka pārinstalēšana salaboja atklāšanu. Tā arī darīja, izdzēšot liegumu.
Uzraudzītā vai pārvaldītā iPhone slēdzis dažkārt ir pelēks. MDM nosūtīta privātuma preferenču slodze var iepriekš iestatīt vai bloķēt piekļuvi vietējam tīklam, un bloķēts izslēgts slēdzis nozīmē, ka remonts ir politikas maiņa, nevis tālruņa maiņa. Apple dokumentē jautājumu un slēdzi katrai lietotnei šeit: support.apple.com/en-us/102229.
Pārbaudiet, ko tunelis patiešām maršrutē
Pilns tunelis paņem 0.0.0.0/0 un līdz ar to katru privāto diapazonu. Paketes uz 10.x, 172.16.0.0/12 un 192.168.x.x ceļo uz serveri, kas tās parasti izmet vai pārtulko savā apakštīklā, tāpēc printeris paliek nesasniedzams arī pēc atļaujas piešķiršanas. Sadalītais tunelis dara pretējo, bet tikai tiem diapazoniem, kurus profils uzskaita.
IKEv2 profili, kas veidoti ar Apple Configurator vai piegādāti kā .mobileconfig, to izsaka kā iestatījumu sūtīt visu datplūsmu plus sadalītā režīmā skaidru vietējo tīklu sarakstu, kas jāizslēdz. Klienta lietotnes, kas veidotas uz NEPacketTunnelProvider, izsaka to pašu lēmumu ar includedRoutes. Neviens no tiem nav redzams statusa joslā, un abi ignorē to, ko lietotne gaida redzam.
Lūk, tests, ko izmantoju. Ar pieslēgtu VPN atveriet Safari maršrutētāja administrēšanas lapu tā LAN adresē. Ja publiskās vietnes ielādējas, kamēr šī lapa nokavējas, jūsu privātais diapazons ir tuneļa iekšpusē. Ja lapa ielādējas, vietējā datplūsma joprojām iziet caur Wi-Fi un bloķēšana ir citur.
Saistiet simptomu ar vārtiem
Divas lietotnes vienā tālrunī var nesaskanēt, jo atļauja tiek dota lietotnei, bet maršruti profilam. Salīdziniet, kas nespēj, pirms kaut ko maināt: modelis parasti pats nosauc vārtus.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
mDNS rinda ir pelnījusi piezīmi. Atklāšanas datplūsma Bonjour un lielākajai daļai apraides protokolu iet multicast uz 224.0.0.251 un ff02::fb ar lokālās saites tvērumu, un maršrutēts tunelis to nepārvada. Tāpēc ierīce var atbildēt uz tiešu savienojumu, nekad neparādoties sarakstā.
Testējiet darbību, nevis ikonu
Pēc Vietējā tīkla slēdža pārslēgšanas piespiedu kārtā aizveriet lietotni no lietotņu pārslēga un palaidiet to vēlreiz. Darbojošs process var noturēt liegto stāvokli no laika pirms izmaiņām, un lietotne, kas turpina atgriezt tukšu sarakstu, izskatās vienādi neatkarīgi no tā, vai atļauja nostrādāja. Pēc tam veiciet vienu konkrētu darbību, piemēram, izdrukājiet testa lapu vai palaidiet video, tā vietā, lai gaidītu ierīču saraksta piepildīšanos.
Turiet VPN profilu nemainītu visā salīdzināšanas laikā. Ja atklāšana sāk darboties tikai pēc atslēgšanās, jūs uzzinājāt, ka vainīgs ir tunelis, nevis atļauja. Mainiet vienu mainīgo uz mēģinājumu, citādi nākamā palaišana jums neko neteiks.
Labojiet šādā secībā
Tālāk dotā secība ir tā, kurai tagad sekoju, jo tā nekad neatstāj tālruni pusizmainītā stāvoklī, kur nākamais tests ir nelasāms.
- Pārliecinieties, ka lietotne ir sarakstā Privātums un drošība, Vietējais tīkls, un ka tās slēdzis ir ieslēgts.
- Piespiedu kārtā aizveriet un no jauna palaidiet lietotni, tad vienreiz atkārtojiet īsto darbību.
- Atveriet maršrutētāja lapu LAN adresē, kamēr esat pieslēgušies, lai pierādītu, vai privātais diapazons iet caur tuneli.
- Ja iet, rediģējiet profilu, lai izslēgtu vietējos tīklus, vai palūdziet profila īpašniekam to izdarīt.
- Ja slēdzis ir pelēks, uzskatiet ierīci par pārvaldītu un pārsūtiet pieprasījumu administratoram.
Parasti attiecas tikai viens. Ja neviens nemaina rezultātu, atlikušie aizdomās turamie ir pats tīkls, piemēram, piekļuves punkta izolācija vai ar Wi-Fi adresēm saistīts atļauto klientu saraksts, un augšā esošā atbilstības tabula norāda, kurš.