VPN по запросу на iPhone подключается к Wi-Fi офиса, а не к сотовой сети

В девять часов телефон подключается к беспроводной сети офиса, и туннель поднимается сам и остаётся там весь день. Сотовая сеть позже ведёт себя ровно так, как все и задумывали. Кто-то недели назад добавил исключение для корпоративной сети, поэтому профиль при проверке выглядит чистым, и каждое утро по-прежнему даёт тот же результат. Устройство следует списку, который ему дали, а список говорит не то, во что верил его автор.

Список читается сверху, и побеждает первое совпадение

Записи оцениваются по порядку. Первая, чьи условия выполняются, определяет результат на этот момент, а всё, что ниже неё, никогда не рассматривается. Поэтому порядок несёт не меньше смысла, чем любое условие, записанное внутри правила. Чтение массива сверху объясняет профиль, который как будто игнорирует исключение, явно в нём содержащееся.

Общая запись подключения по беспроводной сети, поставленная выше исключения офиса, гарантирует туннель на месте. Больше ничего в полезной нагрузке не должно сдвинуться, чтобы поведение перевернулось.

Запись отключения делает две вещи

Когда действие — Отключить, запись закрывает уже работающий сеанс и блокирует новый, пока её условия остаются истинными. Обе половины важны для исключения, и вторую половину обычно забывают. Та же запись во втором профиле объясняет этаж, где VPN отказывается запускаться, пока остальное здание работает. Никто не трогал туннель; это сделал список.

Таблица показывает форму: сначала исключение, с именами, которые должны прийти из вашего собственного развёртывания. Обычно хватает двух записей, а третья для сотовой сети делает остальное предсказуемым.

Сохраняйте оба условия в исключении

Соедините имя сети с типом интерфейса. Одно имя может сработать на связанном канале с той же меткой, тогда как один тип интерфейса исключает каждую беспроводную сеть, которую пользователь посещает в этот день. Обе половины принадлежат одной записи, а не двум правилам, которые случайно стоят рядом.

Сравнение имени точное и учитывает регистр. Это подходит для одной известной сети и создаёт напряжение везде остальном, потому что гостевые сети повторно используют знакомые метки, площадки переименовываются после слияния, а проводной стол вообще не носит имени. Попросите у сетевой команды точную метку, а не читайте её с таблички на стене.

Когда проба побеждает имя

Запись пробы запрашивает URL и читает успешный ответ как истинное условие. Выберите хост, который отвечает только изнутри, например интранет-сервис, который нельзя разрешить публично, и правило перестаёт заботиться о том, как сеть называет себя. Проба, которая отвечает откуда угодно, проверяет интернет, а не здание. Свойство, решающее, работает ли это, — ответ приходит без перенаправления; гостевой портал, отбивающий каждый запрос, превращает пробу в шум.

Правила на основе домена — отдельная форма: NEEvaluateConnectionRule сопоставляет запрошенные домены и может подключаться, когда имя ищется. Его подстановочный знак принимается только как крайняя левая метка, поэтому *.example.com действителен, а example.*.com — нет. Если профиль не использует ни условия интерфейса, ни пробы доступности, проверьте, не использует ли он вместо них этот тип правила.

Чем не управляют правила по запросу

Правила выбирают, начнётся ли туннель, и не имеют голоса в том, чтобы он продолжал работать. Сеанс, который появляется и через несколько минут исчезает, указывает на таймеры простоя, лимиты сеансов шлюза или размер пути. Каждое из этого оставляет разный след, и поэтому стоит исключить список правил, прежде чем менять что-либо из этого. Настройки поддержания соединения не объясняют такую картину, а их изменение перекладывает работу, не затрагивая причину.

Пользователи могут отключить режим по запросу в Настройках, а управляемое назначение может восстановить его при следующей проверке. Когда переключатель продолжает сползать обратно в прежнее положение, активной стороной является назначение. Различие важно, потому что принуждение возвращается само, а предложение остаётся выключенным.

Подтвердите, какая группа профилей владеет устройством и что задумано — принудительно включить туннель или лишь предложить его. Этот ответ решает, считается ли предпочтение пользователя ошибкой или функцией.