VPN setiap aplikasi pada aplikasi iPhone terurus: apa yang dihalakan dan apa yang tidak
Terowong setiap aplikasi mengikut aplikasi terurus, bukan telefon. Semak perkaitan muatan, salinan terurus, peraturan atas permintaan dan aliran yang keluar dari aplikasi.
VPN setiap aplikasi pada iPhone bukan suis untuk seluruh telefon. Ia ialah perkaitan antara satu aplikasi terurus dan satu muatan VPN, dicipta semasa aplikasi digunakan, dan trafik semua yang lain mengekalkan laluan asal. Itulah sebabnya telefon yang sama berkelakuan tidak konsisten: aplikasi kerja membuka halaman peribadi manakala Safari tidak dapat mencapai hos yang sama, atau terowong tidak naik langsung dan aplikasi melaporkan tamat masa yang kelihatan seperti kelayakan yang salah. Pemeriksaan berjalan dari punca paling luas ke bawah, jadi berhenti pada yang pertama gagal.
Semak muatan dan rekod aplikasi dahulu
Perkaitan hidup dalam dua objek, bukan satu. Muatan VPN mentakrifkan terowong: jenis, pelayan, pengesahan, DNS dan pengecam bundel pembekal apabila klien tersuai digunakan. Rekod aplikasi menunjuk kepada muatan itu, dan kebanyakan konsol pengurusan menawarkannya sebagai pilihan setiap aplikasi dalam konfigurasi aplikasi, dengan nama hampir Per-App VPN. Muatan yang tidak ditunjuk mana-mana aplikasi tidak menghalakan apa-apa setiap aplikasi; ia berkelakuan seperti terowong biasa yang perlu dimulakan seseorang secara manual.
Baca kedua-dua objek sebelum menyentuh telefon. Pastikan konfigurasi aplikasi merujuk muatan yang anda uji dan bukan salinan lama, kerana muatan berganda dengan nama hampir sama biasa selepas penghijrahan dan aplikasi dengan senang hati menunjuk kepada yang telah ditarik. Kemudian pastikan konfigurasi sampai ke peranti: Tetapan, Umum, VPN dan Pengurusan Peranti mesti menunjukkannya sebagai profil terpasang. Senarai VPN di sana bukan ujiannya. Perkhidmatan setiap aplikasi biasanya tiada suis manual, jadi konfigurasi yang digunakan dengan betul mungkin tidak pernah muncul antara VPN yang boleh dimulakan. Ketiadaannya kelihatan pada rekod aplikasi dan pada sama ada terowong naik pada permintaan pertama aplikasi.
Satu syarat menjelaskan banyak tiket: model ini memerlukan aplikasi datang melalui pengurusan. Salinan yang dipasang sisi atau dibeli sendiri tidak mendapat perkaitan, walaupun pengecam bundelnya sepadan. Panduan penggunaan VPN Apple menerangkan model muatan di sebaliknya (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).
Pastikan aplikasi terpasang ialah salinan terurus
Perkaitan mengikut aplikasi terpasang yang terurus. Jika seseorang memasangnya semula dari App Store dengan Apple ID peribadi, menggantikannya dengan binaan perusahaan yang ditandatangani semula, atau peranti didaftarkan semula dan aplikasi kembali melalui saluran lain, terowong mungkin kekal mati sementara aplikasi itu sendiri kelihatan normal sepenuhnya.
Uji dengan perbandingan, bukan satu pemerhatian. Dalam inventori pengurusan, aplikasi mesti muncul sebagai terurus untuk peranti itu dengan pemetaan VPN pada rekodnya. Pada telefon, terowong mesti naik apabila aplikasi dilancarkan dan permintaan pertamanya keluar, bukan hanya apabila seseorang memulakan konfigurasi manual berasingan dalam Tetapan. Jika melancarkan aplikasi tidak mengubah apa-apa dan konfigurasi manual itu berubah, aplikasi itu langsung tidak terikat pada terowong setiap aplikasi.
Kemas kini penting: yang ditolak melalui pengurusan mengekalkan pemetaan, manakala pemasangan semula yang dimulakan pengguna boleh kehilangannya. Apabila aduan bertarikh dari kemas kini, semak rekod aplikasi sebelum rangkaian.
Semak apa yang boleh diambil oleh terowong
Terowong setiap aplikasi dipilih mengikut aplikasi sumber, jadi laluan lalai telefon masih milik Wi-Fi atau selular. OverridePrimary ialah kunci yang mengubahnya. Apabila profil menetapkannya, terowong berkelakuan seperti terowong penuh dan setiap aplikasi mewarisinya, jadi semua yang melalui VPN menjadi soal profil, bukan kegagalan aplikasi.
Peraturan atas permintaan menentukan ketahanan. OnDemandEnabled dan set peraturannya membawa terowong kembali apabila aplikasi menghantar trafik, bertahan apabila beralih dari Wi-Fi ke selular, atau turun apabila aplikasi masuk latar belakang. Penggunaan yang bersambung dan kemudian mati senyap biasanya mempunyai peraturan yang hanya sepadan dengan probe yang tidak pernah aktif semasa aplikasi diam.
Kemudian baca bahagian laluan dengan jujur. Jika profil pembekal atau vendor memberikan senarai sertakan, terowong yang hanya membawa 10.20.0.0/16 tidak akan membawa perkhidmatan dalam 10.30.0.0/16; itu senarai yang menjalankan tugasnya, bukan kegagalan setiap aplikasi. Muatan iOS terbina dalam tiada senarai sertakan. Tanpanya, pembahagian mengikut lalai pembekal dan IncludeAllNetworks, bukan senarai tersembunyi.
Uji aplikasi, kemudian uji apa yang keluar daripadanya
Uji dengan nama, bukan hanya alamat. Menyelesaikan hos dalaman di dalam aplikasi terurus membuktikan DNS juga melalui terowong, kerana muatan menentukan penyelesai mana yang menjawab dan domain carian mana yang terpakai. Penghalaan boleh sempurna sementara carian nama gagal, dan kedua-dua gejala menunjuk kepada tetapan berbeza.
Kemudian uji sempadan dari kedua-dua pihak. Aplikasi peribadi atau Safari sepatutnya mencapai halaman awam biasa dan melaporkan alamat pengendali atau rumah, manakala aplikasi terurus mencapai perkhidmatan peribadi. Jika kedua-duanya melaporkan alamat awam yang sama, terowong bukan lagi setiap aplikasi, apa pun yang didakwa rekod aplikasi.
Aliran yang keluar dari aplikasi menghasilkan tiket yang mengelirukan. Pautan yang terbuka dalam Safari, dokumen yang dihantar melalui helaian kongsi, atau log masuk SSO yang beralih ke pelayar meninggalkan proses aplikasi dan terowong bersamanya. Log masuk yang dipaparkan di dalam aplikasi biasanya dikaitkan dengan aplikasi, jadi log masuk terbenam boleh berjaya di tempat URL yang sama gagal dalam Safari; sahkan itu daripada menganggapnya. Apabila pembekal identiti hanya boleh dicapai melalui terowong, kekalkan log masuk di dalam aplikasi atau tambahkan domain pembekal ke domain Safari muatan supaya trafik Safari yang sepadan ditangkap.
Padankan gejala dengan lapisan
Bentuk kegagalan memberitahu pemeriksaan mana yang perlu diulang.
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
Di sebalik baris tengah ada dua butiran: terowong setiap aplikasi boleh sihat dan masih terlepas subnet yang tiada dalam mana-mana senarai pembekal, dan telefon terurus boleh menyimpan lebih daripada satu konfigurasi VPN, jadi pastikan yang mana aplikasi terikat daripada menganggap ia yang anda baca.
Betulkan dalam urutan ini: betulkan rekod aplikasi supaya merujuk muatan aktif, pasang semula aplikasi melalui pengurusan, pastikan terowong naik pada permintaan pertama aplikasi, kemudian ulangi ujian nama dan sempadan. Jika permintaan pertama langsung tidak dapat memulakan terowong, berhenti dan semak pihak pembekal, kerana klien tersuai memerlukan Network Extension yang wujud dan pengecam yang sepadan dengan aplikasi terpasang.
Kembalikan tiga fakta dan bukan tangkapan skrin: muatan mana yang dirujuk rekod aplikasi, sama ada Tetapan menunjukkannya sebagai profil terpasang, dan apa permintaan yang gagal — nama, alamat atau pemindahan ke pelayar. Tiga jawapan ini memisahkan kesilapan penggunaan daripada kesilapan penghalaan, dan orang seterusnya boleh bertindak tanpa mengulang diagnosis.