iPhone VPN प्रति डोमेन: नकार कुठे होतो हे ठरवा
NeverConnect VPN सुरू होण्यापासून थांबवते; ते वेबसाइट ब्लॉक करत नाही. नकार सेवेच्या सीमेवर आहे की व्यवस्थापित धोरणात, हे ठरवा.
दोन गरजा एका वाक्यात लिहिल्या जातात आणि नंतर पूर्णपणे वेगळ्या ठिकाणी अंमलात आणल्या जातात. «ही साइट केवळ VPN द्वारेच उपलब्ध असावी» हे प्रवेशाबद्दलचे विधान आहे, आणि त्याचे नैसर्गिक घर सेवेच्या समोरील नेटवर्क आहे. «या iPhone ने त्या डोमेनशी कधीही थेट संपर्क करू नये» हे उपकरणाबद्दलचे विधान आहे, आणि केवळ व्यवस्थापित क्लायंट धोरण ते व्यक्त करू शकते. प्रोफाइल संपादक उघडण्यापूर्वी तुमच्याकडे खरे कोणते आहे ते ठरवा.
एकसारखे वाटणाऱ्या दोन गरजा
उदाहरणार्थ होस्ट records.corp.example घ्या. प्रवेशाच्या बाबतीत तुम्ही तो केवळ VPN मागील पत्त्यांवर प्रकाशित करता, त्यामुळे सेल्युलर नेटवर्कवरील फोनवरून थेट प्रयत्न नेटवर्कवर अयशस्वी होतो, तर तीच विनंती टनेलमधून यशस्वी होते आणि तरीही खऱ्या खाते लॉगिनची मागणी करते. उपकरणाच्या बाबतीत फोन सार्वजनिक इंटरनेटपर्यंत पोहोचू शकतो, त्यामुळे होस्ट सर्वांसाठी सोडवला जातो आणि उत्तर देतो, आणि प्रयत्न थांबवण्याची एकमेव जागा उपकरण आहे. सेवा तिच्यापर्यंत कधीही न पोहोचणाऱ्या विनंतीवर नियम लागू करू शकत नाही.
गरज चुकीच्या पद्धतीने वाचल्यास विशिष्ट तैनाती दिसून येते. रेकॉर्ड अजूनही सार्वजनिक आहे, ऑपरेटरला वाटते की VPN अनिवार्य आहे, आणि सेल्युलर प्रयत्नाचा लेखापरीक्षण दर्शवतो की विनंती कधीही टनेलमध्ये गेली नाही. काहीही ब्लॉक झाले नाही म्हणून लॉगमध्ये काहीही तुटलेले दिसत नाही.
मूल्यांकन क्रिया शब्दशः वाचा
ऑन-डिमांड यंत्रणेमध्ये क्रियांचे दोन वेगळे स्तर आहेत, आणि त्यांना एकत्र करणे येथे बहुतेक गोंधळ निर्माण करते. बाह्य नियम क्रिया नियम जुळल्यावर टनेलचे काय होते हे ठरवते, आणि कनेक्शन-मूल्यांकन क्रिया मूल्यांकन नियमातील होस्टनाव जुळणीचे काय होते हे ठरवते. Apple चा Never Connect संदर्भ केवळ दुसऱ्या स्तराचे वर्णन करतो.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect हे सर्वात जास्त चुकीच्या पद्धतीने वाचले जाणारे मूल्य आहे, कारण नाव ब्लॉकचा संकेत देते. ते जुळणाऱ्या होस्टनावासाठी टनेल सुरू करणे नियंत्रित करते, फोनला नावापर्यंत पोहोचण्याची परवानगी नाही, म्हणून Never Connect नोंद डोमेन ब्लॉक नाही. डिझाइन दस्तऐवजात त्याला तसे म्हणणे हा तैनातीला तिच्याकडे नसलेल्या अंमलबजावणी सीमेसह मंजूरी मिळण्याचा मार्ग आहे.
सेवा तुमची असेल तर सीमेवर अंमलबजावणी करा
प्रवेश मर्यादित करणे म्हणजे नाव केवळ तेथे प्रकाशित करणे जिथे VPN मार्ग तेथपर्यंत पोहोचू शकतो, आणि नंतर इच्छित मार्ग कार्य करतो आणि दुसरा मार्ग करत नाही याची चाचणी करणे. प्रकाशित प्रत्येक रेकॉर्ड, तुम्ही प्रकाशित करत असल्यास दोन्ही पत्ता कुटुंबे, आणि ॲप वापरत असलेले कोणतेही मध्यस्थ किंवा पर्यायी नाव समाविष्ट करा. सार्वजनिक लोड बॅलेन्सरकडे अजूनही निर्देश करणारे जुने CNAME मुख्य रेकॉर्ड कितीही नीटनेटके असले तरी थेट मार्ग जिवंत ठेवते.
हे उपकरणाऐवजी सेवेचे संरक्षण करते. ते फोनला DNS क्वेरी पाठवण्यापासून थांबवत नाही, आणि ॲपला प्रयत्न करण्यापासून थांबवत नाही. ते प्रयत्न स्वीकारार्ह असल्यास सीमेवरील अंमलबजावणी हा स्वस्त आणि टिकाऊ पर्याय आहे, कारण तो तुम्ही कॉन्फिगर केलेल्यांसाठीच नाही तर प्रत्येक क्लायंटसाठी लागू होतो. कधीही नोंदणी न झालेल्या फोनवरही तो टिकतो.
फोनने प्रयत्नही करू नये असे असल्यास व्यवस्थापित धोरण आवश्यक आहे
प्रयत्न थांबवण्यासाठी कनेक्शनपूर्वी, टनेल अपयशादरम्यान आणि नेटवर्क बदलानंतर ॲप किंवा गंतव्ये व्यापणारे समर्थित अंमलबजावणी धोरण आवश्यक आहे. VPN किंवा उपकरण-व्यवस्थापन प्रदात्याला त्या धोरणाचे नाव सांगण्यास, त्याला संस्थात्मक व्यवस्थापन आवश्यक आहे का हे सांगण्यास, आणि ते आणखी कशावर परिणाम करते हे वर्णन करण्यास सांगा. प्रति-ॲप टनेल आणि ऑन-डिमांड नियम एकच गोष्ट नाही, आणि होम स्क्रीनवरील कनेक्शन शॉर्टकटही नाही.
टनेल अक्षम करून आणि विनंती बाहेर जाते का हे पाहून अपयशाच्या प्रकरणाची चाचणी करा. जर ती बाहेर जात असेल, तर तुम्ही दस्तऐवज केलेली सीमा ही तुम्ही तैनात केलेली सीमा नाही.
तीन प्रश्नांनी ठरवा
प्रथम, तुम्ही सेवा नियंत्रित करता की केवळ फोन? दुसरे, उपकरण बाकी सर्वांसाठी सार्वजनिक इंटरनेट वैधपणे वापरू शकते का? तिसरे, फोन व्यवस्थापित आहे का, आणि कोणाद्वारे? सेवेची मालकी आणि व्यवस्थापित फ्लीट म्हणजे कोणताही स्तर उपलब्ध आहे, तर केवळ फोनची मालकी क्लायंट धोरणाला एकमेव पर्याय बनवते आणि ते समर्थित असणे आवश्यक आहे.
प्रोफाइलला स्पर्श करण्यापूर्वी त्या तीनांची उत्तरे द्या. मग कॉन्फिगरेशन Never नावाच्या चेकबॉक्सचा अर्थ काय याचा अंदाज असणे थांबते.