Aplikacija za iPhone ne najde lokalnih naprav, ko je VPN vklopljen
Dvoje vrat odloča, ali lahko aplikacija v iPhonu prek VPN doseže tiskalnik ali televizor: dovoljenje za Lokalno omrežje in poti samega tunela. Preverite ju po vrsti.
Aplikacija za tiskalnik prikaže prazen seznam, aplikacija za kamero sporoči, da naprave ni našla, gumb za predvajanje v videoaplikaciji pa se vrti, dokler ne obupa. Ikona VPN stoji v vrstici stanja, telefon ima poln signal in Safari brez težav nalaga strani, zato na povezavi nič ne izgleda pokvarjeno. Nato odprete nastavitve same aplikacije in ne najdete ničesar za preklop.
Natančno v to steno sem se zaletel s tiskalnikom nalepk v domačem omrežju: aplikaciji nikoli ni bil odobren dostop do lokalnega omrežja, profil, ki sem ga preizkušal, pa je bil polni tunel, ki je požrl vsak paket, naslovljen na 192.168.1.0/24. Dvoje vrat je bilo zaprtih in odprtje enih ne bi odpravilo simptoma.
Dvoje vrat med eno aplikacijo in enim tiskalnikom
Prva vrata so odločitev o zasebnosti, ki pripada operacijskemu sistemu in ne aplikaciji. iOS odloča, ali lahko aplikacija pošilja promet na naslove v lokalnem omrežju, in uporabnika vpraša ob prvem poskusu aplikacije. Druga vrata so usmerjevalna tabela. Paket, naslovljen na 192.168.1.50, bodisi odide po Wi-Fi proti tiskalniku bodisi vstopi v tunel, in ta izbira je zapisana v profilu VPN.
Vrata odpovedo na različne načine in prav to omogoča diagnozo. Zavrnjeno dovoljenje ubije lasten klic vtičnice v aplikaciji, zato aplikacija nima česa sporočiti in pade v splošno prazno stanje. Težava z usmerjanjem je videti kot potekla časovna omejitev, ker so paketi zapustili telefon in umrli nekje na drugi strani. Isti prazen zaslon, drugačno popravilo.
Preberite stanje dovoljenja, preden se dotaknete VPN
Odprite Nastavitve, nato Zasebnost in varnost, nato Lokalno omrežje. Vsaka aplikacija, ki je zaprosila za dostop, se tam pojavi s stikalom. Apple je dele tega zaslona med iOS 14 in iOS 18 premikal in preimenoval, zato če vnosa ni tam, kjer ga pričakujete, vpišite Lokalno omrežje v iskalno polje nastavitev, namesto da bi brskali po drevesu.
Ljudje se najbolj ujamejo na enkratno vprašanje. iOS vpraša, ko se aplikacija prvič dotakne lokalnega omrežja, in samo takrat. Tapnite Ne dovoli in vprašanje se ob naslednjem zagonu ne vrne; stikalo je edina pot nazaj in na začetku je izklopljeno. Ponovna namestitev aplikacije ponastavi odločitev, zato nekatere niti za odpravljanje težav trdijo, da je ponovna namestitev popravila odkrivanje. Je, z brisanjem zavrnitve.
Na nadzorovanem ali upravljanem iPhonu je stikalo včasih sivo. Profil nastavitev zasebnosti, ki ga pošlje MDM, lahko dostop do lokalnega omrežja vnaprej nastavi ali zaklene, zaklenjeno izklopljeno stikalo pa pomeni, da je popravilo sprememba pravilnika in ne sprememba telefona. Apple opisuje vprašanje in stikalo za vsako aplikacijo tukaj: support.apple.com/en-us/102229.
Preverite, kaj tunel dejansko usmerja
Polni tunel vzame 0.0.0.0/0 in z njim vsak zasebni razpon. Paketi za 10.x, 172.16.0.0/12 in 192.168.x.x potujejo na strežnik, ki jih običajno zavrže ali prevede v svoje podomrežje, zato tiskalnik ostane nedosegljiv tudi po tem, ko dovoljenje odobrite. Razdeljeni tunel naredi nasprotno, a samo za razpone, ki jih profil našteje.
Profili IKEv2, zgrajeni v Apple Configurator ali dobavljeni kot .mobileconfig, to izrazijo z nastavitvijo pošiljanja vsega prometa plus, v razdeljenem načinu, izrecnim seznamom lokalnih omrežij za izključitev. Odjemalske aplikacije, zgrajene na NEPacketTunnelProvider, izrazijo isto odločitev prek includedRoutes. Nobeno od obeh ni vidno iz vrstice stanja, in oba prepišeta tisto, kar aplikacija pričakuje.
To je preizkus, ki ga uporabljam. S povezanim VPN odprite v Safariju skrbniško stran usmerjevalnika na njegovem naslovu LAN. Če se javna mesta nalagajo, medtem ko ta stran poteče, je vaš zasebni razpon v tunelu. Če se stran naloži, lokalni promet še vedno odhaja po Wi-Fi in blokada je drugje.
Povežite simptom z vrati
Dve aplikaciji na istem telefonu se lahko razhajata, ker se dovoljenje podeli na aplikacijo, poti pa na profil. Primerjajte, kaj odpove, preden karkoli spremenite: vzorec običajno sam poimenuje vrata.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
Vrstica mDNS si zasluži opombo. Promet za odkrivanje pri Bonjouru in večini protokolov predvajanja gre z multicastom na 224.0.0.251 in ff02::fb z obsegom lokalne povezave, usmerjeni tunel pa ga ne prenaša. Zato lahko naprava odgovori na neposredno povezavo, ne da bi se kdaj pojavila na seznamu.
Preizkusite dejanje, ne ikono
Ko preklopite Lokalno omrežje, vsilite zaprtje aplikacije iz preklopnika aplikacij in jo znova zaženite. Delujoč proces lahko zadrži zavrnjeno stanje iz časa pred spremembo in aplikacija, ki še naprej vrača prazen seznam, je videti enako, ne glede na to, ali je dovoljenje delovalo. Nato izvedite eno konkretno dejanje, na primer natisnite preskusno stran ali zaženite video, namesto da čakate, da se seznam naprav napolni.
Naj profil VPN ostane nespremenjen ves čas primerjave. Če odkrivanje začne delovati šele po prekinitvi povezave, ste izvedeli, da je kriv tunel in ne dovoljenje. Na poskus spreminjajte eno spremenljivko, sicer vam naslednji zagon ne pove nič.
Popravite v tem vrstnem redu
Spodnje zaporedje je tisto, ki se ga zdaj držim, ker telefona nikoli ne pusti v napol spremenjenem stanju, kjer je naslednji preizkus neberljiv.
- Prepričajte se, da je aplikacija navedena pod Zasebnost in varnost, Lokalno omrežje, in da je njeno stikalo vklopljeno.
- Vsilite zaprtje in znova zaženite aplikacijo, nato enkrat ponovite resnično dejanje.
- Odprite stran usmerjevalnika na naslovu LAN, medtem ko ste povezani, da dokažete, ali je zasebni razpon v tunelu.
- Če je v tunelu, uredite profil tako, da izključi lokalna omrežja, ali prosite lastnika profila, naj to stori.
- Če je stikalo sivo, obravnavajte napravo kot upravljano in zahtevo posredujte skrbniku.
Običajno velja le ena. Če nobena ne spremeni izida, so preostali osumljenci samo omrežje, na primer izolacija dostopovne točke ali seznam dovoljenih odjemalcev, vezan na naslove Wi-Fi, in primerjalna tabela zgoraj pokaže katera.