De VPN op verzoek van de iPhone verbindt met de Wi-Fi van kantoor, niet met mobiel

Om negen uur verbindt de telefoon met het draadloze netwerk van kantoor, en de tunnel komt vanzelf omhoog en blijft de hele dag staan. Het mobiele netwerk gedraagt zich daarna precies zoals iedereen bedoelde. Iemand heeft weken geleden een uitsluiting voor het bedrijfsnetwerk toegevoegd, dus het profiel ziet er bij controle schoon uit, en elke ochtend levert nog steeds hetzelfde resultaat. Het apparaat volgt de lijst die het heeft gekregen, en de lijst zegt iets anders dan wat de auteur geloofde.

De lijst wordt van boven gelezen, en de eerste treffer wint

Items worden op volgorde beoordeeld. Het eerste waarvan de voorwaarden gelden bepaalt het resultaat voor dat moment, en alles eronder wordt nooit bekeken. De volgorde draagt dus evenveel betekenis als elke voorwaarde die in een regel staat. De array van boven lezen verklaart een profiel dat een uitsluiting die het duidelijk bevat lijkt te negeren.

Een algemeen item voor draadloze verbinding boven de uitsluiting van kantoor garandeert een tunnel op locatie. Niets anders in de payload hoeft te bewegen om het gedrag te laten omklappen.

Een item voor verbreken doet twee taken

Als de actie Verbreken is, sluit het item een sessie die al loopt en blokkeert een nieuwe zolang de voorwaarden waar blijven. Beide helften tellen voor een uitsluiting, en de tweede helft wordt vaak vergeten. Hetzelfde item in een tweede profiel verklaart een verdieping waar de VPN weigert te starten terwijl de rest van het gebouw werkt. Niemand raakte de tunnel aan; de lijst deed het.

De tabel toont de vorm, uitsluiting eerst, met namen die uit je eigen uitrol moeten komen. Meestal zijn twee items genoeg, en een derde voor mobiel houdt de rest voorspelbaar.

Houd beide voorwaarden op de uitsluiting

Koppel de netwerknaam aan het interfacetype. Een naam alleen kan afgaan op een gedeelde verbinding met hetzelfde label, terwijl een interfacetype alleen elk draadloos netwerk uitsluit dat de gebruiker die dag bezoekt. Beide helften horen bij één item, niet bij twee regels die toevallig naast elkaar staan.

De naamvergelijking is exact en hoofdlettergevoelig. Dat past bij één bekend netwerk en knijpt overal elders, omdat gastnetwerken vertrouwde labels hergebruiken, locaties na een fusie worden hernoemd, en een bekabeld bureau helemaal geen naam draagt. Vraag het netwerkteam om het exacte label in plaats van het van een bord aan de muur te lezen.

Wanneer een probe een naam verslaat

Een probe-item vraagt een URL op en leest een geslaagd antwoord als een ware voorwaarde. Kies een host die alleen van binnenuit antwoordt, zoals een intranetdienst die niet openbaar kan worden opgelost, en de regel houdt op zich er iets van aan te trekken hoe het netwerk zichzelf noemt. Een probe die overal antwoordt, test het internet, niet het gebouw. De eigenschap die bepaalt of dit werkt, is dat het antwoord zonder omleiding aankomt; een gastportaal dat elk verzoek terugkaatst maakt de probe tot ruis.

Domeingebaseerde regels zijn een aparte vorm: NEEvaluateConnectionRule komt overeen met opgevraagde domeinen en kan verbinden wanneer een naam wordt opgezocht. Het jokerteken wordt alleen als het meest linkse label geaccepteerd, dus *.example.com is geldig terwijl example.*.com dat niet is. Als een profiel noch interfacevoorwaarden noch bereikbaarheidsprobes gebruikt, controleer of het in plaats daarvan dat regeltype gebruikt.

Wat regels op verzoek niet beheren

Regels kiezen of een tunnel start en hebben geen zegje in het aan de gang houden ervan. Een sessie die verschijnt en minuten later weer verdwijnt wijst op inactiviteitstimers, sessielimieten van de gateway of de padgrootte. Elk daarvan laat een ander spoor achter, en dat is de reden om de regellijst uit te sluiten voordat een van hen wordt gewijzigd. Keep-alive-instellingen verklaren dat patroon niet, en ze wijzigen verplaatst het werk zonder de oorzaak aan te raken.

Gebruikers kunnen op verzoek uitzetten in Instellingen, en een beheerde toewijzing kan het bij de volgende incheck herstellen. Als de schakelaar steeds terugschuift naar zijn vorige stand, is de toewijzing de actieve partij. Het onderscheid is belangrijk, want handhaving komt vanzelf terug terwijl een aanbod uit blijft.

Bevestig welke profielgroep het apparaat bezit en of de bedoeling is de tunnel af te dwingen of alleen aan te bieden. Dat antwoord bepaalt of de voorkeur van de gebruiker als een fout of als een functie telt.