VPN ikut domain pada iPhone: tentukan di mana penolakan berlaku
NeverConnect menghentikan VPN daripada bermula; ia tidak menyekat laman web. Tentukan sama ada penolakan tergolong pada sempadan perkhidmatan atau dalam dasar terurus.
Dua keperluan ditulis sebagai satu ayat dan kemudian dilaksanakan di tempat yang sama sekali berbeza. «Laman ini hanya boleh dicapai melalui VPN» ialah kenyataan tentang kemasukan, dan rumah semula jadinya ialah rangkaian di hadapan perkhidmatan. «iPhone ini tidak boleh menghubungi domain itu secara langsung» ialah kenyataan tentang peranti, dan hanya dasar klien terurus boleh menyatakannya. Tentukan yang mana sebenarnya anda miliki sebelum membuka penyunting profil.
Dua keperluan yang kedengaran sama
Ambil hos ilustratif records.corp.example. Dalam kes kemasukan anda menerbitkannya hanya kepada alamat di belakang VPN, jadi percubaan langsung daripada telefon pada rangkaian selular gagal di rangkaian, manakala permintaan yang sama melalui terowong berjaya dan masih memerlukan log masuk akaun sebenar. Dalam kes peranti telefon boleh mencapai internet awam, jadi hos diselesaikan dan menjawab semua orang, dan satu-satunya tempat untuk menghentikan percubaan ialah peranti. Perkhidmatan tidak boleh menguatkuasakan peraturan terhadap permintaan yang tidak pernah sampai kepadanya.
Salah membaca keperluan muncul sebagai penggunaan tertentu. Rekod itu masih awam, pengendali percaya VPN wajib, dan audit percubaan selular menunjukkan permintaan itu tidak pernah masuk ke terowong. Tiada apa-apa dalam log kelihatan rosak, kerana tiada apa-apa disekat.
Baca tindakan penilaian secara literal
Jentera atas permintaan mempunyai dua lapisan tindakan yang berbeza, dan mencampurkannya menghasilkan sebahagian besar kekeliruan di sini. Tindakan peraturan luar menentukan apa yang berlaku kepada terowong apabila peraturan sepadan, dan tindakan penilaian sambungan menentukan apa yang berlaku kepada padanan nama hos dalam peraturan penilaian. Rujukan Never Connect Apple hanya menerangkan lapisan kedua.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect ialah nilai yang paling kerap salah dibaca, kerana namanya mencadangkan sekatan. Ia mengawal permulaan terowong untuk nama hos yang sepadan, bukan kebenaran telefon untuk mencapai nama, jadi entri Never Connect bukan sekatan domain. Menamakannya begitu dalam dokumen reka bentuk ialah cara penggunaan diluluskan dengan sempadan penguatkuasaan yang tidak dimilikinya.
Apabila perkhidmatan itu milik anda, kuatkuasakan di sempadan
Mengehadkan kemasukan bermakna menerbitkan nama hanya di tempat laluan VPN boleh mencapainya, kemudian menguji bahawa laluan yang dimaksudkan berfungsi dan laluan lain tidak. Liputi setiap rekod yang diterbitkan, kedua-dua keluarga alamat jika anda menerbitkannya, dan mana-mana nama perantaraan atau alternatif yang digunakan oleh aplikasi. CNAME lama yang masih menunjuk ke pengimbang beban awam mengekalkan laluan langsung hidup, tidak kira betapa kemas rekod utama.
Ini melindungi perkhidmatan dan bukan peranti. Ia tidak menghalang telefon daripada menghantar pertanyaan DNS, dan tidak menghalang aplikasi daripada mencuba. Jika percubaan itu boleh diterima, penguatkuasaan di sempadan ialah pilihan yang lebih murah dan tahan lama, kerana ia berlaku untuk setiap klien dan bukan hanya yang anda konfigurasikan. Ia juga bertahan pada telefon yang tidak pernah didaftarkan.
Apabila telefon tidak sepatutnya mencuba, anda memerlukan dasar terurus
Menghentikan percubaan memerlukan dasar penguatkuasaan yang disokong yang meliputi aplikasi atau destinasi sebelum sambungan, semasa kegagalan terowong dan selepas perubahan rangkaian. Minta penyedia VPN atau pengurusan peranti menamakan dasar itu, mengatakan sama ada ia memerlukan pengurusan organisasi, dan menerangkan apa lagi yang dipengaruhinya. Terowong setiap aplikasi serta peraturan atas permintaan bukan perkara yang sama, dan pintasan skrin utama ke sambungan juga bukan.
Uji kes kegagalan dengan melumpuhkan terowong dan memerhati sama ada permintaan keluar. Jika ia keluar, sempadan yang anda dokumentasikan bukan sempadan yang anda gunakan.
Tentukan dengan tiga soalan
Pertama, adakah anda mengawal perkhidmatan atau hanya telefon? Kedua, bolehkah peranti menggunakan internet awam secara sah untuk segala-galanya? Ketiga, adakah telefon diurus, dan oleh siapa? Memiliki perkhidmatan serta armada terurus bermakna mana-mana lapisan tersedia, manakala hanya memiliki telefon menjadikan dasar klien satu-satunya pilihan dan ia mesti disokong.
Jawab ketiga-tiga itu sebelum menyentuh profil. Konfigurasi kemudian berhenti menjadi tekaan tentang apa maksud kotak semak bernama Never.