iPhone VPN pa domēniem: izlemiet, kur notiek atteikums
NeverConnect neļauj VPN startēt; tas nebloķē vietni. Izlemiet, vai atteikums pieder pakalpojuma robežai vai pārvaldītai politikai.
Divas prasības tiek pierakstītas kā viens teikums un pēc tam ieviestas pilnīgi atšķirīgās vietās. „Šai vietnei jābūt pieejamai tikai VPN ietvaros“ ir apgalvojums par pielaišanu, un tās dabiskās mājas ir tīkls pakalpojuma priekšā. „Šim iPhone nekad nav tieši jāsazinās ar šo domēnu“ ir apgalvojums par ierīci, un to var izteikt tikai pārvaldīta klienta politika. Izlemiet, kura no tām jums patiešām ir, pirms atverat profila redaktoru.
Divas prasības, kas izklausās vienādi
Ņemiet ilustratīvo resursdatoru records.corp.example. Pielaišanas gadījumā jūs to publicējat tikai adresēm aiz VPN, tāpēc tiešs mēģinājums no tālruņa šūnu tīklā neizdodas tīklā, savukārt tas pats pieprasījums caur tuneli izdodas un joprojām pieprasa reālu konta pieteikšanos. Ierīces gadījumā tālrunis var sasniegt publisko internetu, tāpēc resursdators tiek atrisināts un atbild visiem, un vienīgā vieta, kur apturēt mēģinājumu, ir ierīce. Pakalpojums nevar piemērot noteikumu pieprasījumam, kas to nekad nesasniedz.
Nepareiza prasības nolasīšana izpaužas kā konkrēta izvietošana. Ieraksts joprojām ir publisks, operators uzskata, ka VPN ir obligāts, un šūnu mēģinājuma audits parāda, ka pieprasījums nekad nav iekļuvis tunelī. Žurnālos nekas neizskatās salauzts, jo nekas netika bloķēts.
Lasiet novērtējuma darbības burtiski
Pēc pieprasījuma strādājošajam mehānismam ir divi atsevišķi darbību slāņi, un to sajaukšana šeit rada lielāko daļu apjukuma. Ārējā noteikuma darbība izlemj, kas notiek ar tuneli, kad noteikums atbilst, un savienojuma novērtējuma darbība izlemj, kas notiek ar resursdatora nosaukuma atbilstību novērtējuma noteikumā. Apple Never Connect atsauce apraksta tikai otro slāni.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect ir vērtība, kas visbiežāk tiek nolasīta nepareizi, jo nosaukums liek domāt par bloķēšanu. Tā pārvalda tuneļa palaišanu atbilstošam resursdatora nosaukumam, nevis tālruņa atļauju sasniegt nosaukumu, tāpēc Never Connect ieraksts nav domēna bloķēšana. To tā saukt dizaina dokumentā ir veids, kā izvietošana tiek apstiprināta ar izpildes robežu, kuras tai nav.
Kad pakalpojums pieder jums, izpildiet uz robežas
Pielaišanas ierobežošana nozīmē publicēt nosaukumu tikai tur, kur VPN ceļš to var sasniegt, un pēc tam pārbaudīt, ka paredzētais ceļš darbojas, bet cits ceļš ne. Aptveriet katru publicēto ierakstu, abas adrešu saimes, ja tās publicējat, un jebkuru starpposma vai alternatīvo nosaukumu, ko izmanto lietotne. Vecs CNAME, kas joprojām norāda uz publisku slodzes līdzsvarotāju, uztur tiešo ceļu dzīvu, lai cik kārtīgs būtu galvenais ieraksts.
Tas aizsargā pakalpojumu, nevis ierīci. Tas neliedz tālrunim sūtīt DNS vaicājumu un neliedz lietotnei mēģināt. Ja šie mēģinājumi ir pieņemami, izpilde uz robežas ir lētākā un noturīgākā izvēle, jo tā attiecas uz katru klientu, nevis tikai uz tiem, kurus jūs konfigurējāt. Tā arī pārdzīvo tālruni, kas nekad nav reģistrēts.
Kad tālrunim nav jāmēģina pat, jums vajag pārvaldītu politiku
Mēģinājuma apturēšanai vajadzīga atbalstīta izpildes politika, kas aptver lietotni vai galamērķus pirms savienojuma, tuneļa kļūmes laikā un pēc tīkla maiņas. Lūdziet VPN vai ierīču pārvaldības pakalpojumu sniedzējam nosaukt šo politiku, pateikt, vai tā prasa organizatorisku pārvaldību, un aprakstīt, ko vēl tā ietekmē. Tunelis pa lietotnei plus noteikums pēc pieprasījuma nav viens un tas pats, un sākuma ekrāna īsceļš uz savienojumu arī nav.
Pārbaudiet kļūmes gadījumu, atspējojot tuneli un vērojot, vai pieprasījums iziet. Ja iziet, robeža, ko dokumentējāt, nav robeža, ko izvietojāt.
Izlemiet ar trim jautājumiem
Pirmkārt, vai jūs kontrolējat pakalpojumu vai tikai tālruni? Otrkārt, vai ierīce drīkst likumīgi izmantot publisko internetu visam pārējam? Treškārt, vai tālrunis ir pārvaldīts, un ar ko? Pakalpojuma piederēšana plus pārvaldīts parks nozīmē, ka ir pieejams jebkurš slānis, savukārt tikai tālruņa piederēšana padara klienta politiku par vienīgo iespēju, un tai jābūt atbalstītai.
Atbildiet uz šiem trim, pirms aiztiekat profilu. Tad konfigurācija pārstāj būt minējums par to, ko nozīmē izvēles rūtiņa ar nosaukumu Never.