VPN за iPhone по домени: одлучете каде се случува одбивањето
NeverConnect го спречува стартувањето на VPN; тој не блокира веб-страница. Одлучете дали одбивањето припаѓа на границата на услугата или на управувана политика.
Две барања се запишуваат како една реченица и потоа се спроведуваат на сосема различни места. „Оваа страница треба да биде достапна само преку VPN“ е изјава за приемот, а нејзиниот природен дом е мрежата пред услугата. „Овој iPhone никогаш не треба директно да контактира со тој домен“ е изјава за уредот и само управувана клиентска политика може да ја изрази. Одлучете кое од двете всушност го имате пред да отворите уредувач на профили.
Две барања што звучат исто
Земете го илустративниот домаќин records.corp.example. Во случајот со прием го објавувате само на адреси зад VPN, така што директен обид од телефон на мобилна мрежа пропаѓа на мрежата, додека истото барање низ тунелот успева и уште бара вистинска најава на сметка. Во случајот со уред, телефонот може да го достигне јавниот интернет, па домаќинот се решава и одговара на секого, а единственото место да се запре обидот е уредот. Услугата не може да примени правило за барање што никогаш не стигнува до неа.
Погрешното читање на барањето се покажува како конкретно распоредување. Записот уште е јавен, операторот верува дека VPN е задолжителен, а ревизијата на мобилен обид покажува дека барањето никогаш не влегло во тунелот. Ништо во дневниците не изгледа расипано, бидејќи ништо не било блокирано.
Читајте ги дејствата за оценување буквално
Механизмот по барање има два одделни слоја дејства, а нивното мешање ја создава поголемата збунетост овде. Дејството на надворешното правило одлучува што се случува со тунелот кога правилото се совпаѓа, а дејството за оценување на врската одлучува што се случува со совпаѓање на име на домаќин внатре во правило за оценување. Референцата Never Connect на Apple го опишува само вториот слој.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect е вредноста што најчесто се чита погрешно, бидејќи името навестува блокирање. Таа го контролира стартувањето на тунелот за совпаднато име на домаќин, а не дозволата на телефонот да достигне име, па записот Never Connect не е блокирање на домен. Да се нарече така во проектен документ е начинот на кој распоредување се одобрува со граница на спроведување што ја нема.
Кога услугата е ваша, спроведувајте на границата
Ограничувањето на приемот значи објавување на името само таму каде што VPN патеката може да го достигне, а потоа проверка дека предвидената патека работи, а друга патека не. Опфатете го секој објавен запис, двете семејства на адреси ако ги објавувате, и секое средно или алтернативно име што го користи апликацијата. Стар CNAME што уште покажува на јавен балансер на оптоварување ја одржува директната патека жива, колку и да е уреден главниот запис.
Ова ја штити услугата, а не уредот. Тоа не го спречува телефонот да испрати DNS барање и не ја спречува апликацијата да се обиде. Ако тие обиди се прифатливи, спроведувањето на границата е поевтиниот и поиздржлив избор, бидејќи важи за секој клиент, а не само за тие што ги конфигуриравте. Тоа исто така го преживува телефон што никогаш не бил регистриран.
Кога телефонот не треба ниту да се обиде, потребна е управувана политика
Запирањето на обидот бара поддржана политика за спроведување што ја опфаќа апликацијата или дестинациите пред поврзување, за време на дефект на тунелот и по промена на мрежата. Побарајте од давателот на VPN или управување со уреди да ја именува таа политика, да каже дали бара организациско управување и да опише што друго влијае. Тунел по апликација плус правило по барање не е истото, а ниту кратенката на почетниот екран до врска.
Тестирајте го случајот со дефект со оневозможување на тунелот и набљудување дали барањето излегува. Ако излегува, границата што ја документиравте не е границата што ја распоредивте.
Одлучете со три прашања
Прво, дали ја контролирате услугата или само телефонот? Второ, смее ли уредот легитимно да го користи јавниот интернет за сето друго? Трето, дали телефонот е управуван и од кого? Поседувањето на услугата плус управуван парк значи дека е достапен кој и да е слој, додека поседувањето само на телефонот ја прави клиентската политика единствена опција и таа мора да биде поддржана.
Одговорете на тие три пред да допрете профил. Тогаш конфигурацијата престанува да биде претпоставка за тоа што значи поле за штиклирање со име Never.