Kif ir-regoli tad-dominju ta' Apple VPN On Demand iqajmu mina
Regola tad-dominju tiddeċiedi biss meta tinfetaħ il-mina. Kif taħdem il-probe DNS connect-if-needed, għaliex ir-rotot għadhom jagħżlu t-traffiku u kif tittestja l-profil.
Il-mina tinfetaħ meta titlob isem intern wieħed u tibqa' magħluqa meta l-app li jmiss ikollha bżonnu daqshekk. Dan mhuwiex bug fl-app; din hija l-forma ta' regola tad-dominju. Il-konfigurazzjoni on-demand ta' Apple tiddeskrivi l-kundizzjonijiet biex issir konnessjoni, u l-forma tad-dominju ta' dawk il-kundizzjonijiet tistaqsi lir-resolver tas-sistema mistoqsija qabel ma jiċċaqlaq saħansitra pakkett wieħed. Żewġ mistoqsijiet jiġu mħallta kontinwament: meta l-mina għandha titla', u x’inġorr il-mina ladarba teżisti. L-ewwel hija trigger, it-tieni hija politika ta' rotot u resolver, u profil wieħed normalment jistabbilixxi t-tnejn fl-istess payload, u għalhekk regola tad-dominju korretta xorta tista' tħallik fuq in-netwerk ħażin.
It-trigger u l-għażla tat-traffiku jinsabu fi saffi differenti
Regola on-demand tgħix fid-dizzjunarju on-demand ta' payload VPN: lista ordnata ta' regoli, kull waħda b’azzjoni u sett ta' kundizzjonijiet ta' qbil. Is-sistema tevalwahom meta tinbidel il-konnettività jew meta xi ħaġa tipprova tilħaq in-netwerk, u l-azzjoni tiddeċiedi jekk il-mina titrefgħax, tiġix evalwata, tiskonnettjax jew tiġix injorata. Dan kollu jiġri fis-saff tan-netwerk tal-pjattaforma, qabel ma l-app tiegħek ikollha socket.
Dak li jiġi wara huwa grupp separat ta' ċavetta: is-settings IPv4 u IPv6 tal-mina, ir-rotot inklużi u esklużi tagħha, l-indirizzi tas-server DNS, u fuq iOS u iPadOS l-immappjar skont l-app li jiddeċiedi liema apps jistgħu jużaw il-mina xorta waħda. Profil jista' jqabbel trigger wiesa' ma' rotta dejqa, jew trigger dejqa ma' rotta awtomatika. Aqra biss nofs u n-nofs l-ieħor jidher bħal ħsara.
Għandi profil tal-laboratorju li jikkonnettja kull meta tintalab xi ħaġa taħt dominju intern iżda jibgħat biss /16 waħda fil-mina. Jagħmel eżattament dak li jgħid il-payload tiegħu, u huwa wkoll it-tip ta' profil li jiġġenera biljetti: in-nies jassumu li mina konnessa tfisser li t-traffiku tagħhom jinsab fiha.
X’inhi tassew tistaqsi regola tad-dominju lir-resolver
Il-forma tad-dominju tar-regola, spiss imsejħa connect-if-needed, ma teżaminax il-payload tal-pakketti u lanqas tosserva URLs. Meta isem jiġi riżolt, is-sistema tqabblu mad-dominji fir-regola u, jekk jaqbel, tistaqsi jekk dak l-isem jistax jiġi riżolt permezz tas-servers DNS li l-mina tipprovdi. Jekk jirrispondi r-resolver tal-mina, l-isem jgħodd bħala intern u l-konnessjoni tinbeda. Jekk minflok jirrispondi r-resolver lokali, l-isem jiġi ttrattat bħala estern u ma tidhirx mina. Il-ħarsa ġenerali tal-implimentazzjoni ta' Apple tiddeskrivi dan bħala skoperta tan-netwerk segwita minn valutazzjoni tal-konnessjoni.
Żewġ konsegwenzi jsegwu. Il-profil irid isemmi servers DNS ġewwa l-mina; regola tad-dominju mingħajr resolver tal-mina m’għandha xejn x’tqabbel, u għalhekk il-valutazzjoni ma tistax tipproduċi l-qbil li qed tistenna. U t-tiftixa trid tilħaq ir-resolver tas-sistema. App jew browser li jmexxi DNS encrypted tiegħu stess, estensjoni li twieġeb lokalment, jew konnessjoni ma' indirizz litterali qatt ma jipproduċu r-riżoluzzjoni tal-isem li kienet qed tistenna r-regola. Wieħed mill-itwal waranofsinhar li qatt għaddejt spiċċa meta skoprejt li l-klijent quddiem il-mina kien qed juża DNS over HTTPS.
Il-cache tneħħi t-trigger ukoll. Isem li diġà jinsab fil-cache jista' jiġi mwieġeb mingħajr il-probe li kienet tibda l-mina, għalhekk regola li ħadmet ilbieraħ tfalli wara restart, jew wara li l-mina tkun ilha fuq għal xi żmien. Fuq macOS sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder jirrisettja l-istat; fuq iOS l-ixgħel u tfi tal-modalità ajruplan jew ir-restart tal-apparat jagħtik bidu nadif komparabbli.
Ambitu tal-qbil: ismijiet, apps u netwerks
Il-qbil tad-dominju huwa tip wieħed fost bosta. Regola tista' taqbel ukoll mat-tip ta' interface (Wi-Fi, ċellulari, Ethernet) u SSID speċifiku, u d-dħul skont l-app jew dominju Safari jorbot mina ma' fluss tax-xogħol wieħed. Dan ir-rabta jispjega l-esperjenza stramba fejn app waħda biss iġġib ruħha differenti minn kollox: l-apps l-oħra huma barra mill-ambitu tal-mina, għalhekk ikomplu jużaw it-triq lokali anke meta l-ikona tal-mina tgħid konnessa.
L-ordni hija aktar importanti milli jistennew in-nies. Ir-regoli jiġu evalwati f’sekwenza u l-ewwel waħda li taqbel tipprovdi l-azzjoni, għalhekk regola wiesgħa ikkonnettja-fuq-kwalunkwe-Wi-Fi mqiegħda fuq regola dejqa tad-dominju tirbaħ bil-kwiet u tagħmel ir-regola tad-dominju mhux testabbli. Qabel terġa' tikteb il-lista tad-dominji, ikkonferma li ebda regola preċedenti ma kienet diġà taqbel.
Huwa għalhekk li always-on mhuwiex biss regola on-demand aktar stretta. L-infurzar ta' always-on huwa mod ta' implimentazzjoni separat bil-ħtiġijiet tiegħu ta' superviżjoni u ġestjoni; iżomm mina miftuħa minflok ma jirreaġixxi għal isem. Jekk dak li għandek bżonn huwa mina li qatt ma taqa', regola tad-dominju hija l-għodda żbaljata.
Modalitajiet ta' falliment li jimitaw regola miksura
Il-biċċa l-kbira tar-rapporti li regola tad-dominju ma taħdimx jaqgħu f’wieħed minn ħames postijiet, u l-aħħar waħda biss hija t-test tar-regola.
| What you see | Layer | First check |
|---|---|---|
| Tunnel comes up, internal site still fails | route or resolver after connect | netstat -rn, scutil --dns |
| Tunnel never comes up for that name | trigger path | fresh lookup, cache flush, private DNS |
| Tunnel comes up for every app | scope, or an earlier rule | rule order, per-app mapping |
| Tunnel drops and will not return on the same Wi-Fi | interface or SSID match, admission | captive portal, SSID string, auth prompt |
| Tunnel returns after you disconnect it | profile ownership | profiles show |
Il-portali captive jistħoqqilhom linja tagħhom, għax il-Wi-Fi tal-lukandi u l-ajruporti jinterċettaw eżattament it-tiftixa li tiddependi fuqha r-regola. Sakemm il-portal idaħħal l-apparat, is-server DNS tal-mina ma jistax jintlaħaq, il-probe tfalli, u l-falliment jidher bħal dominju miktub ħażin. L-awtentikazzjoni hija l-każ sieket l-ieħor: ir-regola tista' tispara, il-mina tista' tibda tikkonnettja, u l-konnessjoni tmut fuq ċertifikat skadut jew fuq talba li tidher fuq display ieħor.
IPv6 joħloq varjant li huwa faċli li tiġi dijanjostikata ħażin. Isem b’żewġ familji ta' indirizzi jista' jiġi mwieġeb l-ewwel minn rekord AAAA, filwaqt li l-lista tar-rotot tal-mina ġġorr biss IPv4. Browser wieħed jirnexxi, ieħor ifalli, u l-lista tad-dominji hija kompletament innoċenti.
Ittestja b’talba reali, f’dan l-ordni
Aqra l-politika qabel ma taħseb. Fuq macOS sudo profiles show -type configuration jipprintja l-profili installati inkluż il-payload VPN, scutil --nc list juri l-istat tas-servizz, u scutil --nc show <service> jipprintja d-dizzjunarju on-demand li juża s-sistema. Fuq iPhone jew iPad immexxi l-istess payload jiġi mill-console tal-ġestjoni jew minn rapport MDM. Il-logs tan-netwerk huma disponibbli b'log stream --predicate 'subsystem == "com.apple.networkextension"' fuq macOS, u permezz tal-console tal-apparat meta t-telefon ikun imqabbad.
Imbagħad ittestja b’isem ta' host li ma kienx mistoqsi qabel f’din is-sessjoni. Agħżel isem fiż-żona DNS tal-mina li taf li jiġi riżolt internament, itolbu darba, u ara jekk tidhirx il-mina. Mexxi l-istess tiftixa darbtejn: it-tieni tentattiv jeżerċita t-triq tal-cache, u d-differenza bejn it-tnejn tgħidlek jekk it-trigger huwiex ir-riżoluzzjoni jew ir-routing.
Ladarba l-mina tkun fuq, ivverifika ż-żewġ saffi separatament. netstat -rn -f inet u netstat -rn -f inet6 juru fejn huwa diretti kull prefiss, scutil --dns juri l-ordni tar-resolvers u liema interface għandha kull resolver, u nettop -m route juri liema interface ġarret il-bytes. Jekk il-mina hija fuq u r-resolver huwa korrett iżda r-riżors xorta jfalli, waqqaf l-editjar tar-regola; iċċekkja l-awtorizzazzjoni fuq in-naħa tas-server u r-rotta tar-ritorn.
Meta r-regola tkun ta' xi ħadd ieħor
Jekk il-mina terġa' tidher wara li tiskonnettjaha, ir-regola normalment tappartjeni lil profil aktar milli lil app: konfigurazzjoni mbuttata permezz ta' MDM, profil personali li fadal, jew profil installat minn klijent ieħor. sudo profiles show -type configuration flimkien ma' tiftixa għaċ-ċavetta on-demand jidjiquha, u it-triq tat-tneħħija hija l-profil, mhux il-toggle fil-bar tal-menu. It-tħassir tad-dħul tas-servizz jew tal-app iħalli r-regola warajh, u l-installazzjoni li jmiss terġa' tirtiha.
Test wieħed jiddeċiedi s-sjieda: skonnettja, stenna, erġa' itlob l-isem intern. Jekk il-mina terġa' lura, it-trigger qed jaħdem kif iddisinjat u l-mistoqsija miftuħa hija min jamministraha u jekk dak l-ambitu huwiex dak li trid.
Qabel ma tirrapporta dan bħala bug, għaddi mill-istess ħames verifiki: indirizzi tar-resolver tal-mina preżenti fil-payload, isem li ma kienx fil-cache, ebda regola preċedenti li diġà qabblet, triq AAAA li l-lista tar-rotot tkopri, u l-app fl-ambitu tal-mina. Meta l-ħamsa jżommu, ir-regola tagħmel xogħolha u l-ħsara hija aktar ’il quddiem fit-triq.