VPN pre aplikáciu na spravovaných iPhone: čo sa smeruje a čo nie
Tunel pre aplikáciu sleduje spravovanú aplikáciu, nie telefón. Skontrolujte prepojenie nákladu, spravovanú kópiu, pravidlá na požiadanie a toky, ktoré vychádzajú z aplikácie.
VPN pre aplikáciu na iPhone nie je prepínač celého telefónu. Je to prepojenie jednej spravovanej aplikácie s jedným nákladom VPN, vytvorené pri nasadení aplikácie, a prevádzka všetkého ostatného si zachováva predchádzajúcu trasu. Preto ten istý telefón sa správa nekonzistentne: pracovná aplikácia otvára súkromnú stránku, kým Safari sa nedostane na ten istý hostiteľ, alebo tunel vôbec nevstane a aplikácia hlási časový limit, ktorý vyzerá ako nesprávne prihlasovacie údaje. Kontroly idú od najširšej príčiny nadol, preto sa zastavte pri prvej, ktorá zlyhá.
Najprv skontrolujte náklad a záznam aplikácie
Prepojenie žije v dvoch objektoch, nie v jednom. Náklad VPN definuje tunel: typ, server, overovanie, DNS a identifikátor balíka poskytovateľa pri použití vlastného klienta. Záznam aplikácie ukazuje na tento náklad a väčšina konzol správy to ponúka ako možnosť pre aplikáciu v konfigurácii aplikácie, s menom blízkym Per-App VPN. Náklad, na ktorý neukazuje žiadna aplikácia, nič nesmeruje pre aplikáciu; správa sa ako obyčajný tunel, ktorý musí niekto spustiť ručne.
Prečítajte oba objekty predtým, než sa dotknete telefónu. Potvrďte, že konfigurácia aplikácie ukazuje na testovaný náklad a nie na jeho starú kópiu, pretože duplicitné náklady s takmer rovnakými názvami sú po migrácii bežné a aplikácia rada ukazuje na stiahnutý. Potom potvrďte, že konfigurácia dorazila do zariadenia: Nastavenia, Všeobecné, VPN a správa zariadenia ju musia zobrazovať ako nainštalovaný profil. Zoznam VPN tam nie je testom. Služba pre aplikáciu zvyčajne nemá ručný prepínač, takže správne nasadená konfigurácia sa medzi spustiteľnými VPN nemusí nikdy objaviť. Neprítomnosť je vidieť v zázname aplikácie a v tom, či tunel vstane pri prvej požiadavke aplikácie.
Jedna podmienka vysvetľuje mnoho tiketov: tento model vyžaduje, aby aplikácia prišla cez správu. Kópia nainštalovaná zboku alebo kúpená osobne prepojenie nedostane, aj keď jej identifikátor balíka sedí. Príručka Apple na nasadenie VPN opisuje model nákladu, ktorý je za tým (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).
Potvrďte, že nainštalovaná aplikácia je spravovaná kópia
Prepojenie sleduje nainštalovanú, spravovanú aplikáciu. Ak ju niekto preinštaloval z App Store s osobným Apple ID, nahradil znovu podpísaným podnikovým buildom alebo bolo zariadenie znovu zaregistrované a aplikácia sa vrátila iným kanálom, tunel môže zostať dole, kým aplikácia sama vyzerá úplne normálne.
Testujte porovnaním, nie jedným pozorovaním. V inventári správy sa aplikácia musí zobrazovať ako spravovaná pre to zariadenie s mapovaním VPN v zázname. Na telefóne má tunel vstať pri spustení aplikácie a odchode jej prvej požiadavky, nie len keď niekto v Nastaveniach spustí samostatnú ručnú konfiguráciu. Ak spustenie aplikácie nič nemení a tá ručná konfigurácia áno, aplikácia vôbec nie je naviazaná na tunel pre aplikáciu.
Aktualizácie sú dôležité: tá odoslaná cez správu si mapovanie zachová, kým preinštalovanie spustené používateľom ho môže stratiť. Keď je sťažnosť datovaná od aktualizácie, skontrolujte záznam aplikácie pred sieťou.
Skontrolujte, čo si tunel môže vziať
Tunel pre aplikáciu sa vyberá podľa zdrojovej aplikácie, preto predvolená trasa telefónu stále patrí Wi-Fi alebo mobilnej sieti. OverridePrimary je kľúč, ktorý to mení. Keď ho profil nastaví, tunel sa správa ako úplný tunel a každá aplikácia ho dedí, takže všetko, čo ide cez VPN, sa stáva otázkou profilu, nie poruchou aplikácie.
Pravidlá na požiadanie rozhodujú o pretrvaní. OnDemandEnabled a jeho sada pravidiel vrátia tunel, keď aplikácia posiela prevádzku, prežijú prechod z Wi-Fi na mobilnú sieť alebo ho zhodia, keď aplikácia prejde na pozadie. Nasadenie, ktoré sa pripojí a potom potichu zomrie, má zvyčajne pravidlo, ktoré sedí len na sondu, ktorá sa nikdy nespustí, kým je aplikácia nečinná.
Potom si prečítajte stranu trás úprimne. Ak profil poskytovateľa alebo predajcu dáva zoznam zahrnutia, tunel nesúci len 10.20.0.0/16 nepnesie službu v 10.30.0.0/16; to zoznam robí svoju prácu, nie porucha pre aplikáciu. Vstavaný náklad iOS nemá zoznam zahrnutia. Bez neho rozdelenie nasleduje predvolené hodnoty poskytovateľa a IncludeAllNetworks, nie skrytý zoznam.
Otestujte aplikáciu a potom to, čo z nej vychádza
Testujte podľa mena, nie len podľa adresy. Vyriešenie interného hostiteľa v spravovanej aplikácii dokazuje, že aj DNS išiel cez tunel, pretože náklad určuje, ktorý resolver odpovie a ktoré vyhľadávacie domény platia. Smerovanie môže byť dokonalé, kým vyhľadanie mena zlyháva, a dva príznaky ukazujú na rôzne nastavenia.
Potom otestujte hranicu z oboch strán. Osobná aplikácia alebo Safari by mali dosiahnuť bežnú verejnú stránku a hlásiť adresu operátora alebo domova, kým spravovaná aplikácia dosiahne súkromnú službu. Ak obe hlásia rovnakú verejnú adresu, tunel už nie je pre aplikáciu, čokoľvek tvrdí záznam aplikácie.
Toky vychádzajúce z aplikácie vytvárajú mätúce tikety. Odkaz, ktorý sa otvorí v Safari, dokument odovzdaný cez hárok zdieľania alebo prihlásenie SSO, ktoré prejde do prehliadača, opúšťajú proces aplikácie a spolu s ním tunel. Prihlásenie zobrazené v aplikácii sa zvyčajne pripisuje aplikácii, takže vložené prihlásenie môže uspieť tam, kde tá istá URL v Safari zlyhá; overte to, namiesto toho aby ste to predpokladali. Keď je poskytovateľ identity dostupný len cez tunel, držte prihlásenie v aplikácii alebo pridajte doménu poskytovateľa k doménam Safari nákladu, aby sa zodpovedajúca prevádzka Safari zachytila.
Priraďte príznak k vrstve
Tvar poruchy hovorí, ktorú kontrolu zopakovať.
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
Za strednými riadkami sú dva detaily: tunel pre aplikáciu môže byť zdravý a napriek tomu vynechať podsiet, ktorú nemá žiadny zoznam poskytovateľa, a spravovaný telefón môže mať viac ako jednu konfiguráciu VPN, preto potvrďte, ku ktorej je aplikácia pripútaná, namiesto predpokladu, že je to tá, ktorú čítate.
Opravte v tomto poradí: nasmerujte záznam aplikácie na aktívny náklad, preinštalujte aplikáciu cez správu, potvrďte, že tunel vstane pri prvej požiadavke aplikácie, a potom zopakujte testy mena a hranice. Ak prvá požiadavka vôbec nemôže spustiť tunel, zastavte sa a skontrolujte stranu poskytovateľa, pretože vlastný klient potrebuje existujúci Network Extension a identifikátor zodpovedajúci nainštalovanej aplikácii.
Vráťte tri fakty namiesto snímky obrazovky: na ktorý náklad ukazuje záznam aplikácie, či ho Nastavenia zobrazujú ako nainštalovaný profil a aká bola neúspešná požiadavka — meno, adresa alebo prechod do prehliadača. Tieto tri odpovede oddeľujú chybu nasadenia od chyby smerovania a ďalší človek môže konať bez opakovania diagnostiky.