iPhone-VPN per domein: bepaal waar de weigering plaatsvindt
NeverConnect voorkomt dat de VPN start; het blokkeert geen website. Bepaal of de weigering bij de dienstgrens of in een beheerd beleid hoort.
Twee vereisten worden als één zin opgeschreven en vervolgens op volledig verschillende plaatsen geïmplementeerd. Deze site mag alleen via de VPN bereikbaar zijn is een uitspraak over toelating, en de natuurlijke thuisbasis is het netwerk voor de dienst. Deze iPhone mag dat domein nooit rechtstreeks benaderen is een uitspraak over het apparaat, en alleen een beheerd cliëntbeleid kan die uitdrukken. Bepaal welke u werkelijk hebt voordat u een profieleditor opent.
Twee vereisten die hetzelfde klinken
Neem de voorbeeldhost records.corp.example. In het toelatingsgeval publiceert u die alleen naar adressen achter de VPN, zodat een rechtstreekse poging vanaf een telefoon op mobiel netwerk in het netwerk mislukt, terwijl dezelfde aanvraag via de tunnel slaagt en nog steeds een echte accountaanmelding vereist. In het apparaatgeval kan de telefoon het openbare internet bereiken, dus de host wordt voor iedereen opgelost en beantwoord, en de enige plek om de poging te stoppen is het apparaat. De dienst kan geen regel handhaven voor een aanvraag die hem nooit bereikt.
Verkeerd lezen van de vereiste blijkt uit een specifieke uitrol. Het record is nog steeds openbaar, de operator gelooft dat de VPN verplicht is, en een audit van een mobiele poging laat zien dat de aanvraag nooit de tunnel in ging. Niets in de logs ziet er kapot uit, omdat niets werd geblokkeerd.
Lees de evaluatieacties letterlijk
De on-demand-machinerie heeft twee afzonderlijke actielagen, en het door elkaar halen ervan veroorzaakt het meeste van de verwarring hier. De buitenste regelactie bepaalt wat er met de tunnel gebeurt als de regel overeenkomt, en de verbindingsevaluatieactie bepaalt wat er gebeurt met een hostnaamovereenkomst binnen een evaluatieregel. Apple's Never Connect-referentie beschrijft alleen de tweede laag.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect is de waarde die het vaakst verkeerd wordt gelezen, omdat de naam een blokkade suggereert. Hij bepaalt het starten van de tunnel voor een overeenkomende hostnaam, niet de toestemming van de telefoon om een naam te bereiken, dus een Never Connect-vermelding is geen domeinblokkade. Die zo in een ontwerpdocument noemen is hoe een uitrol wordt goedgekeurd met een handhavingsgrens die hij niet heeft.
Als u de dienst bezit, handhaaf dan bij de grens
Toelating beperken betekent de naam alleen publiceren waar het VPN-pad hem kan bereiken, en dan testen dat het beoogde pad werkt en een ander pad niet. Dek elk gepubliceerd record, beide adresfamilies als u ze publiceert, en elke tussenliggende of alternatieve naam die de app gebruikt. Een oude CNAME die nog naar een openbare load balancer wijst, houdt het directe pad in leven, hoe netjes het hoofdrecord ook is.
Dit beschermt de dienst in plaats van het apparaat. Het weerhoudt de telefoon er niet van een DNS-query te sturen, en de app er niet van het te proberen. Als die pogingen acceptabel zijn, is handhaving bij de grens de goedkopere en duurzamere keuze, omdat het voor elke cliënt geldt en niet alleen voor degenen die u hebt geconfigureerd. Het overleeft ook een telefoon die nooit is ingeschreven.
Als de telefoon het niet eens mag proberen, hebt u een beheerd beleid nodig
Het stoppen van de poging vereist een ondersteund handhavingsbeleid dat de app of bestemmingen dekt vóór verbinding, tijdens een tunnelstoring en na een netwerkwijziging. Vraag de VPN- of apparaatbeheerprovider dat beleid te benoemen, te zeggen of het organisatorisch beheer vereist, en te beschrijven wat het nog meer beïnvloedt. Een tunnel per app plus een on-demand-regel is niet hetzelfde, en een snelkoppeling op het beginscherm naar een verbinding ook niet.
Test het storingsgeval door de tunnel uit te schakelen en te kijken of de aanvraag naar buiten gaat. Als dat gebeurt, is de grens die u hebt gedocumenteerd niet de grens die u hebt uitgerold.
Beslis met drie vragen
Ten eerste, beheert u de dienst of alleen de telefoon? Ten tweede, mag het apparaat het openbare internet rechtmatig voor al het andere gebruiken? Ten derde, is de telefoon beheerd, en door wie? De dienst bezitten plus een beheerde vloot betekent dat beide lagen beschikbaar zijn, terwijl alleen de telefoon bezitten het cliëntbeleid de enige optie maakt en dat moet worden ondersteund.
Beantwoord die drie voordat u een profiel aanraakt. Dan houdt de configuratie op een gok te zijn over wat een selectievakje met de naam Never betekent.