VPN po aplikaciji na upravljanim iPhone aplikacijama: šta se usmjerava, a šta ne
Tunel po aplikaciji prati upravljanu aplikaciju, a ne telefon. Provjerite vezu profila, upravljanu kopiju, pravila na zahtjev i tokove koji napuštaju aplikaciju.
VPN po aplikaciji na iPhoneu nije prekidač za cijeli telefon. To je veza između jedne upravljane aplikacije i jednog VPN profila, nastala pri postavljanju aplikacije, a promet svega ostalog zadržava rutu koju je imao prije. Zato isti telefon se ponaša nedosljedno: radna aplikacija otvara privatnu stranicu dok Safari ne može doći do istog hosta, ili se tunel uopće ne podiže i aplikacija prijavljuje istek vremena koji izgleda kao loši podaci za prijavu. Provjere idu od najšireg uzroka prema dolje, pa stanite na prvoj koja padne.
Prvo provjerite profil i zapis aplikacije
Veza živi u dva objekta, ne u jednom. VPN profil definira tunel: tip, poslužitelj, provjeru identiteta, DNS i identifikator paketa pružatelja kada se koristi prilagođeni klijent. Zapis aplikacije pokazuje na taj profil, a većina upravljačkih konzola nudi to kao opciju po aplikaciji u konfiguraciji aplikacije, s nazivom blizu Per-App VPN. Profil na koji ne pokazuje nijedna aplikacija ne usmjerava ništa po aplikaciji; ponaša se kao običan tunel koji netko mora pokrenuti ručno.
Pročitajte oba objekta prije nego dotaknete telefon. Potvrdite da konfiguracija aplikacije pokazuje na profil koji testirate, a ne na njegovu stariju kopiju, jer su duplicirani profili sa skoro istim imenima česti nakon migracije i aplikacija će rado pokazati na povučeni. Zatim potvrdite da je konfiguracija došla na uređaj: Postavke, Općenito, VPN i upravljanje uređajem moraju je prikazati kao instalirani profil. Popis VPN-a tamo nije test. Usluga po aplikaciji obično nema ručni prekidač, pa se ispravno postavljena konfiguracija možda nikad ne pojavi među VPN-ovima koje možete pokrenuti. Odsutnost se vidi u zapisu aplikacije i u tome podiže li se tunel na prvi zahtjev aplikacije.
Jedan uvjet objašnjava mnoge prijave: ovaj model traži da aplikacija dođe kroz upravljanje. Bočno instalirana ili osobno kupljena kopija ne dobiva vezu, čak i kad se identifikator paketa poklapa. Appleov vodič za postavljanje VPN-a opisuje model profila koji stoji iza toga (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).
Potvrdite da je instalirana aplikacija upravljana kopija
Veza prati instaliranu, upravljanu aplikaciju. Ako ju je netko ponovno instalirao iz App Storea s osobnim Apple ID-om, zamijenio je ponovno potpisanom poslovnom verzijom ili je uređaj ponovno učlanjen i aplikacija se vratila drugim kanalom, tunel može ostati dolje dok aplikacija izgleda potpuno normalno.
Testirajte usporedbom, a ne jednim promatranjem. U upravljačkom inventaru aplikacija treba biti označena kao upravljana za taj uređaj, s VPN mapiranjem u zapisu. Na telefonu se tunel treba podići kad se aplikacija pokrene i kad izađe njezin prvi zahtjev, ne samo kad netko pokrene zasebnu ručnu konfiguraciju u Postavkama. Ako pokretanje aplikacije ne mijenja ništa, a ta ručna konfiguracija mijenja, aplikacija uopće nije vezana na tunel po aplikaciji.
Ažuriranja su važna: ono poslano kroz upravljanje zadržava mapiranje, dok ga ponovna instalacija koju pokrene korisnik može izgubiti. Kad se žalba datira od ažuriranja, provjerite zapis aplikacije prije mreže.
Provjerite što tunel smije preuzeti
Tunel po aplikaciji bira se prema izvornoj aplikaciji, pa zadana ruta telefona i dalje pripada Wi-Fi ili mobilnoj mreži. OverridePrimary je ključ koji to mijenja. Kad ga profil postavi, tunel se ponaša kao puni tunel i svaka aplikacija ga nasljeđuje, pa sve kroz VPN postaje pitanje profila, a ne kvar aplikacije.
Pravila na zahtjev odlučuju ustrajnost. OnDemandEnabled i njegov skup pravila vraćaju tunel kad aplikacija pošalje promet, preživljavaju prijelaz s Wi-Fi na mobilnu mrežu ili ga spuštaju kad aplikacija ode u pozadinu. Postavljanje koje se spoji i zatim tiho umre obično ima pravilo koje odgovara samo probi koja se nikad ne aktivira dok aplikacija miruje.
Zatim pošteno pročitajte stranu ruta. Ako profil pružatelja ili dobavljača daje popis uključenja, tunel koji nosi samo 10.20.0.0/16 neće nositi uslugu u 10.30.0.0/16; to popis radi svoj posao, a ne kvar po aplikaciji. Ugrađeni iOS profil nema popis uključenja. Bez njega podjela slijedi zadane postavke pružatelja i IncludeAllNetworks, a ne skriveni popis.
Testirajte aplikaciju, zatim testirajte što izlazi iz nje
Testirajte imenom, ne samo adresom. Razrješavanje unutarnjeg hosta unutar upravljane aplikacije dokazuje da je i DNS prošao kroz tunel, jer profil odlučuje koji će resolver odgovoriti i koje će se domene pretraživanja primijeniti. Usmjeravanje može biti savršeno dok traženje imena pada, a dva simptoma upućuju na različite postavke.
Zatim testirajte granicu s obje strane. Osobna aplikacija ili Safari trebaju doći do obične javne stranice i prijaviti adresu operatera ili doma, dok upravljana aplikacija dolazi do privatne usluge. Ako oboje prijave istu javnu adresu, tunel više nije po aplikaciji, što god zapis aplikacije tvrdio.
Tokovi koji napuštaju aplikaciju stvaraju zbunjene prijave. Veza koja se otvori u Safariju, dokument predan kroz list za dijeljenje ili SSO prijava koja prijeđe u preglednik napuštaju proces aplikacije i tunel s njim. Prijava prikazana unutar aplikacije obično se pripisuje aplikaciji, pa ugrađena prijava može uspjeti gdje isti URL padne u Safariju; provjerite to umjesto da pretpostavite. Kad je pružatelj identiteta dostupan samo kroz tunel, ili zadržite prijavu unutar aplikacije ili dodajte domenu pružatelja u Safari domene profila kako bi se odgovarajući Safari promet zahvatio.
Uparite simptom sa slojem
Oblik kvara kaže vam koju provjeru ponoviti.
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
Iza srednjih redova stoje dva detalja: tunel po aplikaciji može biti zdrav i ipak propustiti podmrežu koju nijedan popis pružatelja ne uključuje, a upravljani telefon može držati više od jedne VPN konfiguracije, pa potvrdite na koju je aplikacija vezana umjesto da pretpostavite da je ona koju čitate.
Popravljajte ovim redom: ispravite zapis aplikacije da pokazuje na živi profil, ponovno instalirajte aplikaciju kroz upravljanje, potvrdite da se tunel podiže na prvi zahtjev aplikacije, zatim ponovite testove imena i granice. Ako prvi zahtjev uopće ne može pokrenuti tunel, stanite i provjerite stranu pružatelja, jer prilagođeni klijent treba prisutan Network Extension s identifikatorom koji odgovara instaliranoj aplikaciji.
Vratite tri činjenice umjesto snimke zaslona: na koji profil pokazuje zapis aplikacije, prikazuju li Postavke to kao instalirani profil i koji je zahtjev pao — ime, adresa ili prijelaz u preglednik. Ta tri odgovora razdvajaju pogrešku postavljanja od pogreške usmjeravanja i sljedeća osoba može djelovati bez ponavljanja dijagnoze.