Апликацијата за iPhone не пронаоѓа локални уреди додека VPN е вклучен
Две порти одлучуваат дали апликација на iPhone може да стигне до печатач или телевизор преку VPN: дозволата за Локална мрежа и рутите на самиот тунел. Проверете ги по ред.
Апликацијата за печатач прикажува празна листа, апликацијата за камера известува дека не е пронајден уред, а копчето за пренос во видео-апликација се врти додека не се откаже. Иконата за VPN стои во статусната лента, телефонот има полн сигнал и Safari без проблем вчитува страници, па на врската ништо не изгледа расипано. Потоа отворате поставки на самата апликација и не наоѓате ништо за префрлање.
Наидов точно на овој ѕид со печатач за етикети во домашна мрежа: на апликацијата никогаш не ѝ бил дозволен пристап до локалната мрежа, а профилот што го тестирав беше целосен тунел што голташе секој пакет адресиран на 192.168.1.0/24. Две независни порти беа затворени и отворањето на едната немаше да го отстрани симптомот.
Две порти меѓу една апликација и еден печатач
Првата порта е одлука за приватност што ѝ припаѓа на оперативниот систем, а не на апликацијата. iOS одлучува дали апликацијата смее да испраќа сообраќај до адреси во локалната мрежа и го прашува корисникот при првиот обид на апликацијата. Втората порта е табелата за рутирање. Пакет наменет за 192.168.1.50 или излегува преку Wi-Fi кон печатачот, или влегува во тунелот, и тој избор е запишан во профилот за VPN.
Двете порти откажуваат на различен начин и токму тоа ја овозможува дијагнозата. Одбиената дозвола го убива сопствениот повик на сокет во апликацијата, па таа нема што да извести и паѓа назад во општо празно состојба. Проблем со рутирањето изгледа како истек на време, бидејќи пакетите го напуштиле телефонот и умреле некаде од другата страна. Ист празен екран, друга поправка.
Прочитајте ја состојбата на дозволата пред да го допрете VPN
Отворете Поставки, потоа Приватност и безбедност, потоа Локална мрежа. Секоја апликација што побарала пристап се појавува таму со прекинувач. Apple ги преместуваше и преименуваше деловите од овој екран меѓу iOS 14 и iOS 18, па ако ставката не е таму каде што ја очекувате, внесете Локална мрежа во полето за пребарување на поставките наместо да го пребарувате дрвото.
Луѓето најмногу ги фаќа еднократното прашање. iOS прашува кога апликацијата првпат ќе ја допре локалната мрежа и само тогаш. Допрете Не дозволувај и прашањето не се враќа при следното стартување; прекинувачот е единствениот пат назад и на почеток е исклучен. Преинсталирањето на апликацијата ја ресетира одлуката, затоа некои теми за решавање проблеми тврдат дека преинсталација го поправила откривањето. Го поправи, со бришење на одбивањето.
На надгледуван или управуван iPhone прекинувачот понекогаш е сив. Профил со поставки за приватност испратен преку MDM може однапред да постави или заклучи пристап до локалната мрежа, а заклучен исклучен прекинувач значи дека поправката е промена на политика, а не промена на телефонот. Apple го документира прашањето и прекинувачот по апликација овде: support.apple.com/en-us/102229.
Проверете што всушност рутира тунелот
Целосниот тунел зема 0.0.0.0/0 и со него секој приватен опсег. Пакетите за 10.x, 172.16.0.0/12 и 192.168.x.x патуваат до серверот, кој обично ги отфрла или ги преведува во сопствената подмрежа, па печатачот останува недостапен и откако ќе ја дадете дозволата. Поделениот тунел го прави спротивното, но само за опсезите наведени во профилот.
Профилите IKEv2 изградени во Apple Configurator или доставени како .mobileconfig го изразуваат тоа како поставка за испраќање на целиот сообраќај плус, во поделен режим, изречна листа локални мрежи што треба да се исклучат. Клиентските апликации изградени на NEPacketTunnelProvider ја изразуваат истата одлука преку includedRoutes. Ниту едното ниту другото не е видливо од статусната лента, и двете го надјавуваат тоа што апликацијата очекува да го види.
Ова е тестот што го користам. Со поврзан VPN отворете во Safari страницата за администрација на рутерот преку неговата LAN адреса. Ако јавните страници се вчитуваат додека таа страница истекува, вашиот приватен опсег е во тунелот. Ако страницата се вчита, локалниот сообраќај продолжува да излегува преку Wi-Fi и блокирањето е на друго место.
Поврзете го симптомот со портата
Две апликации на истиот телефон можат да не се согласуваат, бидејќи дозволата се дава по апликација, а рутите по профил. Споредете што откажува пред да промените нешто: шемата обично сама ја именува портата.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
Редот за mDNS заслужува забелешка. Сообраќајот за откривање на Bonjour и на повеќето протоколи за пренос оди по multicast кон 224.0.0.251 и ff02::fb со досег на локална врска, а рутиран тунел не го пренесува. Затоа уред може да одговори на директна врска без никогаш да се појави на листа.
Тестирајте ја постапката, не иконата
Откако ќе го префрлите Локална мрежа, присилно затворете ја апликацијата од прекинувачот за апликации и стартувајте ја повторно. Работен процес може да го задржи одбиеното состојба од пред промената, а апликација што продолжува да враќа празна листа изгледа исто без разлика дали дозволата проработела. Потоа изведете едно конкретно дејство, на пример печатење на пробна страница или стартување видео, наместо да чекате листата со уреди да се наполни.
Држете го профилот за VPN непроменет во текот на споредбата. Ако откривањето почне да работи само откако ќе се исклучите, сте научиле дека виновен е тунелот, а не дозволата. Менувајте по една променлива на обид, инаку следното пуштање нема да ви каже ништо.
Поправете го по овој ред
Следниот редослед е тој што сега го следам, бидејќи никогаш не остава телефон во напола променето состојба во која следниот тест е нечитлив.
- Проверете дали апликацијата е наведена под Приватност и безбедност, Локална мрежа, и дали нејзиниот прекинувач е вклучен.
- Присилно затворете и повторно стартувајте ја апликацијата, потоа повторете го вистинското дејство еднаш.
- Отворете ја страницата на рутерот преку LAN адресата додека сте поврзани за да докажете дали приватниот опсег е во тунелот.
- Ако е, уредете го профилот за да ги исклучи локалните мрежи или замолете го сопственикот на профилот да го направи тоа.
- Ако прекинувачот е сив, третирајте го уредот како управуван и препратете го барањето до администраторот.
Обично важи само една. Ако ниту една не го промени резултатот, преостанати осомничени се самата мрежа, на пример изолација на пристапна точка или листа дозволени клиенти врзана за Wi-Fi адреси, а табелата за совпаѓање погоре покажува која.