VPN skont id-dominju fuq iPhone: iddeċiedi fejn iseħħ ir-rifjut
NeverConnect iwaqqaf il-VPN milli jibda; ma jimblokkax sit web. Iddeċiedi jekk ir-rifjut jaqax fil-fruntiera tas-servizz jew f'politika mmaniġġjata.
Żewġ rekwiżiti jinkitbu bħala sentenza waħda u mbagħad jiġu implimentati f'postijiet kompletament differenti. «Dan is-sit għandu jkun aċċessibbli biss permezz tal-VPN» hija stqarrija dwar id-dħul, u d-dar naturali tagħha hija n-netwerk quddiem is-servizz. «Dan l-iPhone qatt m'għandu jikkuntattja dak id-dominju direttament» hija stqarrija dwar l-apparat, u politika tal-klijent immanniġġjata biss tista' tesprimiha. Iddeċiedi liema waħda għandek verament qabel ma tiftaħ editur tal-profil.
Żewġ rekwiżiti li jidwu l-istess
Ħu l-host illustrattiv records.corp.example. Fil-każ tad-dħul tippubblikah biss għal indirizzi wara l-VPN, għalhekk tentattiv dirett minn telefon fuq netwerk ċellulari jonqos fin-netwerk, filwaqt li l-istess talba mit-tunnel tirnexxi u xorta titlob login reali tal-kont. Fil-każ tal-apparat it-telefon jista' jilħaq l-internet pubbliku, għalhekk il-host jiġi riżolt u jwieġeb lil kulħadd, u l-uniku post biex jitwaqqaf it-tentattiv huwa l-apparat. Is-servizz ma jistax jinfurza regola fuq talba li qatt ma tasal għandu.
Qari ħażin tar-rekwiżit jidher bħala implimentazzjoni speċifika. Ir-rekord għadu pubbliku, l-operatur jemmen li l-VPN huwa obbligatorju, u awditjar ta' tentattiv ċellulari juri li t-talba qatt ma daħlet fit-tunnel. Xejn fil-logs ma jidher miksur, għax xejn ma ġie mblukkat.
Aqra l-azzjonijiet ta' evalwazzjoni litteralment
Il-makkinarju fuq talba għandu żewġ saffi distinti ta' azzjonijiet, u l-għaqda tagħhom tipproduċi l-biċċa l-kbira tal-konfużjoni hawn. L-azzjoni tar-regola ta' barra tiddeċiedi x'jiġri mit-tunnel meta r-regola taqbel, u l-azzjoni tal-evalwazzjoni tal-konnessjoni tiddeċiedi x'jiġri minn qbil tal-isem tal-host ġewwa regola ta' evalwazzjoni. Ir-referenza Never Connect ta' Apple tiddeskrivi biss it-tieni saff.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect huwa l-valur li jinqara l-aktar ħażin, għax l-isem jissuġġerixxi blokk. Huwa jirregola l-bidu tat-tunnel għal isem tal-host li jaqbel, mhux il-permess tat-telefon li jilħaq isem, għalhekk entrata Never Connect mhijiex blokk tad-dominju. Li ssejjaħha hekk f'dokument tad-disinn hija l-mod kif implimentazzjoni tiġi approvata b'fruntiera ta' infurzar li m'għandhiex.
Meta s-servizz huwa tiegħek, infurza fil-fruntiera
Ir-restrizzjoni tad-dħul tfisser li tippubblika l-isem biss fejn il-passaġġ tal-VPN jista' jilħqu, imbagħad tittestja li l-passaġġ maħsub jaħdem u passaġġ ieħor le. Ikopri kull rekord ippubblikat, iż-żewġ familji tal-indirizzi jekk tippubblikahom, u kull isem intermedju jew alternattiv li tuża l-app. CNAME antik li għadu jindika lejn bilanċjatur tat-tagħbija pubbliku jżomm il-passaġġ dirett ħaj, kemm jekk ir-rekord prinċipali jkun pulit.
Dan jipproteġi s-servizz aktar milli l-apparat. Ma jwaqqafx it-telefon milli jibgħat mistoqsija DNS, u ma jwaqqafx l-app milli tipprova. Jekk dawk it-tentattivi huma aċċettabbli, l-infurzar fil-fruntiera huwa l-għażla irħas u aktar durabbli, għax japplika għal kull klijent u mhux biss għal dawk li kkonfigurajt. Jaqbeż ukoll telefon li qatt ma ġie rreġistrat.
Meta t-telefon m'għandux saħansitra jipprova, għandek bżonn politika mmaniġġjata
Biex jitwaqqaf it-tentattiv hemm bżonn politika ta' infurzar appoġġjata li tkopri l-app jew id-destinazzjonijiet qabel il-konnessjoni, waqt falliment tat-tunnel u wara bidla fin-netwerk. Itlob lill-fornitur tal-VPN jew tal-immaniġġjar tal-apparati biex isemmi dik il-politika, jgħid jekk teħtieġx immaniġġjar organizzazzjonali, u jiddeskrivi x'jaffettwa wkoll. Tunnel għal kull app flimkien ma' regola fuq talba mhumiex l-istess ħaġa, u lanqas shortcut mill-iskrin tad-dar għal konnessjoni.
Ittestja l-każ tal-falliment billi tiddiżattiva t-tunnel u tosserva jekk it-talba toħroġx. Jekk toħroġ, il-fruntiera li ddokumentajt mhijiex il-fruntiera li implimentajt.
Iddeċiedi b'tliet mistoqsijiet
L-ewwel, tikkontrolla s-servizz jew it-telefon biss? It-tieni, l-apparat jista' juża l-internet pubbliku legalment għal kollox ieħor? It-tielet, it-telefon huwa mmaniġġjat, u min? Li tkun proprjetarju tas-servizz flimkien ma' flotta mmaniġġjata jfisser li kwalunkwe saff huwa disponibbli, filwaqt li li tkun proprjetarju tat-telefon biss jagħmel il-politika tal-klijent l-unika għażla u din trid tkun appoġġjata.
Wieġeb lil dawk it-tlieta qabel ma tmiss profil. Imbagħad il-konfigurazzjoni tieqaf tkun suppożizzjoni dwar x'ifisser kaxxa tal-ikklerkar bl-isem Never.