Aplikácia pre iPhone nenájde miestne zariadenia, keď je VPN zapnutá
O tom, či sa aplikácia v iPhone cez VPN dostane k tlačiarni alebo televízoru, rozhodujú dve brány: oprávnenie Miestna sieť a trasy samotného tunela. Skontrolujte ich v poradí.
Aplikácia tlačiarne ukazuje prázdny zoznam, aplikácia fotoaparátu hlási, že zariadenie sa nenašlo, a tlačidlo prenosu vo videu sa točí, kým to nevzdá. Ikona VPN visí v stavovom riadku, telefón má plný signál a Safari načítava stránky bez problémov, takže na pripojení nič nevyzerá pokazené. Potom otvoríte nastavenia aplikácie a nenájdete nič na prepnutie.
Narazil som presne na túto stenu s etiketovou tlačiarňou v domácej sieti: aplikácii nikto nikdy nepridelil prístup k miestnej sieti a profil, ktorý som testoval, bol plný tunel, ktorý pohltil každý paket adresovaný 192.168.1.0/24. Dve nezávislé brány boli zatvorené a otvorenie jednej by príznak neodstránilo.
Dve brány medzi jednou aplikáciou a jednou tlačiarňou
Prvá brána je rozhodnutie o súkromí, ktoré patrí operačnému systému, nie aplikácii. iOS rozhoduje, či aplikácia smie posielať prevádzku na adresy v miestnej sieti, a pýta sa používateľa pri prvom pokuse aplikácie. Druhá brána je smerovacia tabuľka. Paket adresovaný 192.168.1.50 buď odíde cez Wi-Fi k tlačiarni, alebo vstúpi do tunela, a táto voľba je zapísaná v profile VPN.
Obe brány zlyhávajú rôzne, a práve to umožňuje diagnostiku. Odopreté oprávnenie zabije vlastné volanie socketu v aplikácii, takže aplikácia nemá čo hlásiť a spadne do všeobecného prázdneho stavu. Problém so smerovaním vyzerá ako vypršanie časového limitu, pretože pakety opustili telefón a zomreli niekde na druhej strane. Rovnaká prázdna obrazovka, iná oprava.
Prečítajte stav oprávnenia, kým sa dotknete VPN
Otvorte Nastavenia, potom Súkromie a bezpečnosť, potom Miestna sieť. Každá aplikácia, ktorá požiadala o prístup, sa tam objaví s prepínačom. Apple časti tejto obrazovky presúval a premenovával medzi iOS 14 a iOS 18, takže ak položka nie je tam, kde ju čakáte, napíšte Miestna sieť do vyhľadávacieho poľa nastavení, namiesto prechádzania stromu.
Ľudí najviac chytí jednorazová otázka. iOS sa pýta, keď sa aplikácia prvýkrát dotkne miestnej siete, a len vtedy. Klepnite na Nepovoliť a otázka sa pri ďalšom spustení nevráti; prepínač je jediná cesta späť a na začiatku je vypnutý. Preinštalovanie aplikácie rozhodnutie resetuje, preto niektoré vlákna s riešením problémov tvrdia, že objavovanie opravila preinštalácia. Opravila, vymazaním odmietnutia.
Na spravovanom alebo pod dohľadom umiestnenom iPhone je prepínač niekedy sivý. Profil predvolieb súkromia odoslaný cez MDM môže prístup k miestnej sieti prednastaviť alebo uzamknúť, a uzamknutý vypnutý prepínač znamená, že oprava je zmena zásady, nie zmena telefónu. Apple popisuje otázku a prepínač pre každú aplikáciu tu: support.apple.com/en-us/102229.
Skontrolujte, čo tunel skutočne smeruje
Plný tunel berie 0.0.0.0/0 a s ním každý privátny rozsah. Pakety pre 10.x, 172.16.0.0/12 a 192.168.x.x putujú na server, ktorý ich zvyčajne zahodí alebo preloží do vlastnej podsiete, takže tlačiareň zostane nedostupná aj po udelení oprávnenia. Rozdelený tunel robí opak, ale len pre rozsahy, ktoré profil vypisuje.
Profily IKEv2 vytvorené v Apple Configurator alebo dodávané ako .mobileconfig to vyjadrujú nastavením odosielať všetku prevádzku plus, v rozdelenom režime, výslovným zoznamom miestnych sietí na vylúčenie. Klientske aplikácie postavené na NEPacketTunnelProvider vyjadrujú rovnaké rozhodnutie cez includedRoutes. Ani jedno nie je vidieť zo stavového riadku, a oboje prepisuje to, čo aplikácia očakáva.
Toto je test, ktorý používam. S pripojeným VPN otvorte v Safari administračnú stránku routera cez jeho LAN adresu. Ak sa verejné weby načítavajú, kým táto stránka vyprší, váš privátny rozsah je v tuneli. Ak sa stránka načíta, miestna prevádzka stále odchádza cez Wi-Fi a blokácia je inde.
Priraďte príznak bráne
Dve aplikácie na tom istom telefóne sa môžu rozchádzať, pretože oprávnenie sa dáva na aplikáciu, zatiaľ čo trasy na profil. Porovnajte, čo zlyháva, kým čokoľvek zmeníte: vzorec zvyčajne bránu pomenuje sám.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
Riadok mDNS si zaslúži poznámku. Prevádzka zisťovania pre Bonjour a väčšinu prenosových protokolov ide multicastom na 224.0.0.251 a ff02::fb s rozsahom lokálneho spoja a smerovaný tunel ju neprenáša. Preto zariadenie môže odpovedať na priame pripojenie bez toho, aby sa kedy objavilo v zozname.
Testujte operáciu, nie ikonu
Po prepnutí Miestnej siete vynúťte ukončenie aplikácie z prepínača aplikácií a spustite ju znova. Bežiaci proces môže držať odopretý stav z času pred zmenou a aplikácia, ktorá stále vracia prázdny zoznam, vyzerá rovnako, či oprávnenie zabralo alebo nie. Potom vykonajte jednu konkrétnu akciu, napríklad tlač skúšobnej stránky alebo spustenie videa, namiesto čakania, kým sa zoznam zariadení naplní.
Držte profil VPN počas porovnania nemenný. Ak zisťovanie začne fungovať až po odpojení, zistili ste, že vinníkom je tunel, nie oprávnenie. Meňte jednu premennú na pokus, inak vám budúci beh nič nepovie.
Opravte to v tomto poradí
Nasledujúci sled je ten, ktorý teraz dodržiavam, pretože nikdy nenechá telefón v napoly zmenenom stave, kde je ďalší test nečitateľný.
- Overte, že je aplikácia uvedená v Súkromie a bezpečnosť, Miestna sieť, a že jej prepínač je zapnutý.
- Vynúťte ukončenie, znova aplikáciu spustite a raz zopakujte skutočnú operáciu.
- Otvorte stránku routera cez LAN adresu, keď ste pripojení, aby ste preukázali, či je privátny rozsah v tuneli.
- Ak je v tuneli, upravte profil tak, aby miestne siete vylúčil, alebo o to požiadajte vlastníka profilu.
- Ak je prepínač sivý, berte zariadenie ako spravované a požiadavku nasmerujte na správcu.
Zvyčajne platí len jedna. Ak žiadna výsledok nezmení, zvyšnými podozrivými sú samotná sieť, napríklad izolácia prístupového bodu alebo zoznam povolených klientov viazaný na Wi-Fi adresy, a mapovacia tabuľka vyššie ukazuje ktorá.