VPN pre iPhone podľa domén: rozhodnite, kde dochádza k odmietnutiu
NeverConnect bráni spusteniu VPN; neblokuje webovú stránku. Rozhodnite, či odmietnutie patrí na hranicu služby alebo do spravovanej politiky.
Dve požiadavky sa zapíšu ako jedna veta a potom sa implementujú na úplne odlišných miestach. „Táto stránka musí byť dostupná len cez VPN“ je tvrdenie o vpustení a jej prirodzeným domovom je sieť pred službou. „Tento iPhone sa nikdy nesmie priamo spojiť s tou doménou“ je tvrdenie o zariadení a vyjadriť ho môže len spravovaná klientska politika. Rozhodnite, ktorú z nich skutočne máte, skôr než otvoríte editor profilov.
Dve požiadavky, ktoré znejú rovnako
Vezmite ilustratívny hostiteľ records.corp.example. V prípade vpustenia ho zverejňujete len na adresy za VPN, takže priamy pokus z telefónu v mobilnej sieti zlyhá v sieti, zatiaľ čo tá istá požiadavka cez tunel uspeje a stále vyžaduje skutočné prihlásenie k účtu. V prípade zariadenia sa telefón môže dostať na verejný internet, takže hostiteľ sa resolvuje a odpovedá komukoľvek, a jediné miesto, kde pokus zastaviť, je zariadenie. Služba nemôže vynútiť pravidlo pre požiadavku, ktorá k nej nikdy nedorazí.
Nesprávne čítanie požiadavky sa prejaví ako konkrétne nasadenie. Záznam je stále verejný, operátor verí, že VPN je povinná, a audit mobilného pokusu ukáže, že požiadavka nikdy nevstúpila do tunela. V logoch nič nevyzerá pokazené, pretože nič nebolo zablokované.
Čítajte akcie hodnotenia doslovne
Mechanizmus na požiadanie má dve odlišné vrstvy akcií a ich miešanie spôsobuje väčšinu tu vznikajúceho zmätku. Akcia vonkajšieho pravidla rozhoduje, čo sa stane s tunelom, keď pravidlo sedí, a akcia hodnotenia pripojenia rozhoduje, čo sa stane so zhodou názvu hostiteľa vnútri hodnotiaceho pravidla. Appleova referencia Never Connect opisuje len druhú vrstvu.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect je hodnota, ktorá sa najčastejšie číta nesprávne, pretože názov naznačuje blokovanie. Riadi spustenie tunela pre zodpovedajúci názov hostiteľa, nie povolenie telefónu dosiahnuť názov, takže položka Never Connect nie je blokovanie domény. Nazvať ju tak v návrhovom dokumente je spôsob, akým sa nasadenie schvaľuje s hranicou vymáhania, ktorú nemá.
Keď službu vlastníte, vynucujte na hranici
Obmedzenie vpustenia znamená zverejniť názov len tam, kam sa cesta cez VPN dostane, a potom otestovať, že zamýšľaná cesta funguje a iná cesta nie. Pokryte každý zverejnený záznam, obe rodiny adries, ak ich zverejňujete, a akýkoľvek medziľahlý alebo alternatívny názov, ktorý aplikácia používa. Starý CNAME stále ukazujúci na verejný vyvažovač záťaže udržiava priamu cestu živou, bez ohľadu na to, aký usporiadaný je hlavný záznam.
Toto chráni službu, nie zariadenie. Nezastaví telefón od odoslania DNS dopytu a nezastaví aplikáciu od pokusu. Ak sú tieto pokusy prijateľné, vynucovanie na hranici je lacnejšia a trvácnejšia voľba, pretože platí pre každého klienta, nielen pre tých, ktorých ste nakonfigurovali. Prežije aj telefón, ktorý nikdy nebol zaregistrovaný.
Keď telefón nesmie ani skúsiť, potrebujete spravovanú politiku
Zastavenie pokusu vyžaduje podporovanú politiku vymáhania, ktorá pokrýva aplikáciu alebo ciele pred pripojením, počas zlyhania tunela a po zmene siete. Požiadajte poskytovateľa VPN alebo správy zariadení, aby túto politiku pomenoval, povedal, či vyžaduje organizačnú správu, a opísal, čo ďalšie ovplyvňuje. Tunel na aplikáciu plus pravidlo na požiadanie nie je to isté a skratka na ploche k pripojeniu tiež nie.
Otestujte prípad zlyhania vypnutím tunela a sledovaním, či požiadavka odchádza. Ak odchádza, hranica, ktorú ste zdokumentovali, nie je hranica, ktorú ste nasadili.
Rozhodnite tromi otázkami
Po prvé, ovládate službu, alebo len telefón? Po druhé, smie zariadenie legitímne používať verejný internet na všetko ostatné? Po tretie, je telefón spravovaný, a kým? Vlastníctvo služby plus spravovaná flotila znamená, že je dostupná ktorákoľvek vrstva, zatiaľ čo vlastníctvo len telefónu robí klientsku politiku jedinou možnosťou a tá musí byť podporovaná.
Odpovedzte na tie tri, skôr než sa dotknete profilu. Konfigurácia potom prestane byť hádaním o tom, čo znamená zaškrtávacie pole s názvom Never.