Dve VPN na iPhone naraz: ktorá nesie tvoj prenos?

Dve aplikácie VPN obe hlásia Connected a predpoklad je, že prenos teraz prechádza oboma, jedna vnútri druhej. Zvyčajne to tak nie je. iOS má konkrétny model spolužitia a ten nie je reťazou. Jedna trieda konfigurácie je obmedzená na jednu povolenú inštanciu, druhá môže bežať vedľa nej, a priorita trás rozhoduje konflikty. Dva rozsvietené prepínače nie sú dva skoky. Model je dokumentovaný, čo znamená, že cestu možno predpovedať namiesto hádania z ikon.

Mýtus: dve pripojené VPN sú reťaz

Reťaz dvoch skokov potrebuje definovaný vonkajší prenos, definovaný vnútorný tunel, kompatibilné smerovanie koncových bodov a plán na to, čo sa stane, keď jeden z nich zlyhá. Dve nezávislé konfigurácie to nevytvárajú len tým, že existujú súčasne. Priorita trasy nie je to isté ako zapuzdrenie, a to, že jedna konfigurácia vyhrá vyhľadanie trasy, nič nehovorí o tom, či druhá nesie výsledné pakety.

Ak potrebujete vnorenie, navrhnite ho ako vnorenie. Neodvodzujte ho z dvoch indikátorov pripojenia. Tento rozdiel ušetrí veľa ladenia.

Dokumentovaný model za týmto mýtom

NETunnelProviderManager od Apple opisuje bežné podnikové konfigurácie VPN a uvádza, že súčasne možno povoliť iba jednu takého typu. Tá istá referencia umožňuje, aby Personal VPN zostala povolená a pripojená vedľa nej, a dáva podnikovým trasám prednosť tam, kde sa obe prekrývajú.

Personal VPN je tu termín API pre vstavanú implementáciu IPsec alebo IKEv2 spravovanú cez NEVPNManager. NETunnelProviderManager je model poskytovateľa tunela. Spotrebiteľská aplikácia môže použiť model poskytovateľa, takže názov produktu obsahujúci personal ju neklasifikuje.

Apple dokumentuje jednu povolenú kombináciu a povolenie vám nehovorí, že profily dvoch dodávateľov sú kompatibilné, preto sa každého dodávateľa spýtajte, ktorá dvojica je podporovaná. Ich typy konfigurácií, trasy a zásady stále rozhodujú o výsledku.

Mýtus: osobná VPN dostáva prenos prehliadania

Pracovný profil, ktorý si nárokuje každé určenie, vyhrá vyhľadanie trasy aj pre verejné prehliadanie, takže osobný výstup z neho nič nenesie. Podľa dokumentovanej priority podnikové trasy vyhrávajú tam, kde sa zrážajú, takže verejné prehliadanie automaticky neprejde na osobný výstup len preto, že tá aplikácia tiež hlási pripojenie. Užšia pracovná konfigurácia môže zmeniť obraz smerovania, ale klient organizácie môže stále vynútiť požiadavky na DNS, blokovanie alebo zariadenie. Podporované usporiadanie si vyžiadajte od jeho vlastníka, namiesto lokálnej úpravy týchto požiadaviek.

Spravované konfigurácie pre jednotlivé aplikácie majú vlastný rozsah. Neprenášajte pravidlo na úrovni zariadenia na každé spravované nasadenie.

Pred testom si zapíšte dva toky: súkromný názov a rozsah pracovnej služby a novú požiadavku na verejné prehliadanie. Obe sú legitímne a potrebujú rôzne kontroly.

Priorita trás s pracovným profilom rozdeleného tunela

Pracovný profil s rozdeleným tunelom si nárokuje uvedené súkromné prefixy a internú príponu DNS a tieto trasy vyhrajú každé vyhľadanie, ktoré im zodpovedá. Verejné destinácie, ktoré nezodpovedajú žiadnej podnikovej trase, prepadnú na fyzické spojenie, ak si ich osobná VPN nevyžiada prvá. Pravidlo priority rozhoduje len o prekrývajúcich sa zhodách, preto sa oba profily musia čítať ako tabuľky trás, nie ako ikony.

Zapíšte dvojicu ako dva riadky a pomenujte očakávaného víťaza pre každý: názov pracovného hostiteľa, ktorý sa preloží na 10.x alebo 172.16.x, by mal vychádzať podnikovým tunelom, a verejná adresa bez zodpovedajúceho prefixu by mala prevziať zostávajúcu predvolenú trasu. Ak oba riadky pomenúvajú rovnaký výstup, rozdelenie nerobí to, čo opisuje dokumentácia.

Zapíšte dva toky a overte každý

Pre každý tok zaznamenajte, ktorá schválená konfigurácia ho má niesť a ktorý prekladač má dostať každý typ názvu. Potom overte čerstvými požiadavkami, nie kešovanou pracovnou stránkou alebo starým výsledkom IP.

Zastavte jednu konfiguráciu a zopakujte oba toky. Správanie pri zlyhaní je súčasťou návrhu a je to časť, ktorú si používatelia všimnú. Keď dvaja poskytovatelia nemôžu kombináciu podporiť, rozhodnite sa pre jednu schválenú konfiguráciu a zdokumentujte, ktorý tok nesie, alebo prejdite na spravovaný návrh s jedným tunelom. Dokumentácia NETunnelProviderManager je zdrojom pravidla spolužitia.