VPN по апликација на управувани iPhone апликации: што се рутира, а што не
Тунелот по апликација ја следи управуваната апликација, а не телефонот. Проверете го поврзувањето на товарот, управуваната копија, правилата при барање и тековите што излегуваат од апликацијата.
VPN по апликација на iPhone не е прекинувач за целиот телефон. Тоа е поврзување меѓу една управувана апликација и еден VPN товар, создадено при распоредување на апликацијата, а сообраќајот на сѐ друго го задржува претходниот маршрут. Затоа истиот телефон се однесува неконзистентно: работната апликација отвора приватна страница, додека Safari не стигнува до истиот хост, или тунелот воопшто не се крева и апликацијата пријавува истек на време што изгледа како погрешни акредитиви. Проверките одат од најшироката причина надолу, затоа застанете на првата што не успева.
Прво проверете го товарот и записот на апликацијата
Поврзувањето живее во два објекта, не во еден. VPN товарот го дефинира тунелот: тип, сервер, автентикација, DNS и идентификаторот на пакетот на провајдерот кога се користи прилагоден клиент. Записот на апликацијата покажува кон тој товар, и повеќето конзоли за управување го нудат ова како опција по апликација во конфигурацијата на апликацијата, со име близу до Per-App VPN. Товар кон кој не покажува ниту една апликација не рутира ништо по апликација; тој се однесува како обичен тунел што некој мора рачно да го стартува.
Прочитајте ги двата објекта пред да го допрете телефонот. Потврдете дека конфигурацијата на апликацијата покажува кон товарот што го тестирате, а не кон неговата стара копија, бидејќи по преместување двојни товари со речиси исти имиња се вообичаени и апликацијата со задоволство покажува кон повлечениот. Потоа потврдете дека конфигурацијата стигнала до уредот: Поставки, Општо, VPN и управување со уредот мора да ја прикажат како инсталиран профил. Тамушниот VPN список не е тестот. Услугата по апликација обично нема рачен прекинувач, затоа правилно распоредена конфигурација може никогаш да не се појави меѓу VPN-овите што можат да се стартуваат. Отсуството се гледа во записот на апликацијата и во тоа дали тунелот се крева при првото барање на апликацијата.
Еден услов објаснува многу билети: овој модел бара апликацијата да дојде преку управување. Странично инсталирана или лично купена копија не го добива поврзувањето, дури и кога нејзиниот идентификатор на пакетот се совпаѓа. Apple-овиот водич за распоредување VPN го опишува моделот на товар зад ова (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).
Потврдете дека инсталираната апликација е управуваната копија
Поврзувањето ја следи инсталираната, управувана апликација. Ако некој ја реинсталирал од App Store со личен Apple ID, ја заменил со повторно потпишан корпоративен билд, или уредот бил повторно регистриран и апликацијата се вратила преку друг канал, тунелот може да остане долу додека самата апликација изгледа сосема нормално.
Тестирајте со споредба, не со едно набљудување. Во управувачкиот инвентар апликацијата мора да се прикажува како управувана за тој уред со VPN мапирање во нејзиниот запис. На телефонот тунелот треба да се крене кога апликацијата се стартува и кога излегува нејзиното прво барање, не само кога некој во Поставки стартува одделна рачна конфигурација. Ако стартувањето на апликацијата не менува ништо, а таа рачна конфигурација менува, апликацијата воопшто не е врзана за тунел по апликација.
Ажурирањата се важни: она што се турка преку управување го задржува мапирањето, додека реинсталацијата што ја започнува корисникот може да го загуби. Кога поплаката датира од ажурирање, проверете го записот на апликацијата пред мрежата.
Проверете што смее да земе тунелот
Тунелот по апликација се избира според изворната апликација, затоа стандардниот маршрут на телефонот сѐ уште им припаѓа на Wi-Fi или мобилната мрежа. OverridePrimary е клучот што го менува тоа. Кога профилот го поставува, тунелот се однесува како целосен тунел и секоја апликација го наследува, така што сѐ што оди преку VPN станува прашање на профил, а не дефект на апликацијата.
Правилата при барање ја одредуваат постојаноста. OnDemandEnabled и неговото множество правила го враќаат тунелот кога апликацијата испраќа сообраќај, го преживуваат преминот од Wi-Fi на мобилна мрежа или го спуштаат кога апликацијата оди во позадина. Распоредувањето што се поврзува и потоа тивко умира обично има правило што одговара само на сонда што никогаш не се активира додека апликацијата е неактивна.
Потоа прочитајте ја страната на маршрутите чесно. Ако профилот на провајдерот или продавачот дава список за вклучување, тунел што носи само 10.20.0.0/16 нема да носи услуга во 10.30.0.0/16; тоа списокот ја работи својата работа, не дефект по апликација. Вградениот iOS товар нема список за вклучување. Без него поделбата ги следи стандардите на провајдерот и IncludeAllNetworks, а не скриен список.
Тестирајте ја апликацијата, потоа тестирајте што излегува од неа
Тестирајте со име, не само со адреса. Решавањето на внатрешен хост внатре во управуваната апликација докажува дека и DNS отишол преку тунелот, бидејќи товарот одредува кој решавач ќе одговори и кои домени за пребарување ќе важат. Рутирањето може да биде совршено додека пребарувањето на име не успева, и двата симптоми покажуваат на различни поставки.
Потоа тестирајте ја границата од двете страни. Лична апликација или Safari треба да стигнат до обична јавна страница и да ја пријават адресата на операторот или домот, додека управуваната апликација стигнува до приватната услуга. Ако двете ја пријават истата јавна адреса, тунелот повеќе не е по апликација, што и да тврди записот на апликацијата.
Тековите што излегуваат од апликацијата создаваат збунувачки билети. Линк што се отвора во Safari, документ предаден преку листот за споделување или SSO најава што преминува на прелистувач го напуштаат процесот на апликацијата и заедно со него тунелот. Најавата прикажана внатре во апликацијата обично ѝ се припишува на апликацијата, затоа вградената најава може да успее таму каде истиот URL не успева во Safari; проверете го тоа наместо да претпоставувате. Кога провајдерот за идентитет е достапен само преку тунелот, задржете ја најавата во апликацијата или додајте го доменот на провајдерот во Safari домените на товарот за да се фати соодветниот Safari сообраќај.
Поврзете го симптомот со слојот
Формата на дефектот ви кажува која проверка да ја повторите.
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
Зад средните редови стојат два детали: тунелот по апликација може да биде здрав и сепак да пропушти подмрежа што не е во ниту еден список на провајдер, и управуван телефон може да држи повеќе од една VPN конфигурација, затоа потврдете кон која е врзана апликацијата наместо да претпоставите дека тоа е таа што ја читате.
Поправете по овој редослед: поправете го записот на апликацијата за да покажува кон активниот товар, реинсталирајте ја апликацијата преку управување, потврдете дека тунелот се крева при првото барање на апликацијата, потоа повторете ги тестовите за име и граница. Ако првото барање воопшто не може да стартува тунел, застанете и проверете ја страната на провајдерот, бидејќи прилагодениот клиент бара Network Extension да постои и идентификатор што одговара на инсталираната апликација.
Вратете три факти наместо екранска слика: кон кој товар покажува записот на апликацијата, дали Поставки го прикажуваат како инсталиран профил и кое беше неуспешното барање — име, адреса или премин на прелистувач. Овие три одговори ја одвојуваат грешката при распоредување од грешката при рутирање, и следниот човек може да дејствува без да ја повторува дијагнозата.