VPN na iPhonu po domenah: odločite, kje pride do zavrnitve
NeverConnect prepreči zagon VPN; ne blokira spletnega mesta. Odločite, ali zavrnitev spada na mejo storitve ali v upravljano politiko.
Dve zahtevi se zapišeta kot en stavek in nato izvedeta na povsem različnih mestih. „Ta stran mora biti dostopna samo prek VPN“ je trditev o sprejemu, njen naravni dom pa je omrežje pred storitvijo. „Ta iPhone se nikoli ne sme neposredno povezati s to domeno“ je trditev o napravi in izraziti jo more le upravljana odjemalska politika. Odločite, katero od njiju v resnici imate, preden odprete urejevalnik profilov.
Dve zahtevi, ki zvenita enako
Vzemite ponazoritvenega gostitelja records.corp.example. V primeru sprejema ga objavite samo na naslove za VPN, zato neposreden poskus s telefona v mobilnem omrežju spodleti v omrežju, medtem ko ista zahteva skozi tunel uspe in še vedno zahteva pravo prijavo v račun. V primeru naprave lahko telefon doseže javni internet, zato se gostitelj razreši in odgovarja vsem, edino mesto za ustavitev poskusa pa je naprava. Storitev ne more uveljaviti pravila za zahtevo, ki do nje nikoli ne pride.
Napačno branje zahteve se pokaže kot določena namestitev. Zapis je še vedno javen, operater verjame, da je VPN obvezen, revizija mobilnega poskusa pa pokaže, da zahteva nikoli ni vstopila v tunel. V dnevnikih nič ne izgleda pokvarjeno, ker ni bilo nič blokirano.
Dejanja ocenjevanja berite dobesedno
Mehanizem na zahtevo ima dve ločeni plasti dejanj in njuno mešanje povzroča večino zmede tukaj. Dejanje zunanjega pravila odloča, kaj se zgodi s tunelom, ko se pravilo ujema, dejanje ocene povezave pa odloča, kaj se zgodi z ujemanjem imena gostitelja znotraj pravila ocenjevanja. Applov sklic Never Connect opisuje le drugo plast.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect je vrednost, ki se najpogosteje bere napačno, ker ime nakazuje blokado. Upravlja zagon tunela za ujemajoče se ime gostitelja, ne dovoljenja telefona, da doseže ime, zato vnos Never Connect ni blokada domene. Če ga v oblikovalskem dokumentu tako imenujete, je to način, kako se namestitev odobri z mejo izvajanja, ki je nima.
Ko je storitev vaša, uveljavljajte na meji
Omejevanje sprejema pomeni objaviti ime samo tam, kjer ga pot VPN lahko doseže, nato pa preizkusiti, da predvidena pot deluje, druga pot pa ne. Pokrijte vsak objavljeni zapis, obe družini naslovov, če ju objavljate, in vsako vmesno ali nadomestno ime, ki ga aplikacija uporablja. Star CNAME, ki še vedno kaže na javni razporejevalnik obremenitve, ohranja neposredno pot živo, ne glede na to, kako urejen je glavni zapis.
To ščiti storitev, ne naprave. Telefonu ne prepreči pošiljanja poizvedbe DNS in aplikaciji ne prepreči poskusa. Če so ti poskusi sprejemljivi, je uveljavljanje na meji cenejša in trajnejša izbira, ker velja za vsakega odjemalca, ne le za tiste, ki ste jih nastavili. Preživi tudi telefon, ki ni bil nikoli registriran.
Ko telefon ne sme niti poskusiti, potrebujete upravljano politiko
Za ustavitev poskusa je potrebna podprta politika izvajanja, ki pokriva aplikacijo ali cilje pred povezavo, med okvaro tunela in po spremembi omrežja. Prosilite ponudnika VPN ali upravljanja naprav, naj to politiko poimenuje, pove, ali zahteva organizacijsko upravljanje, in opiše, na kaj še vpliva. Tunel na aplikacijo plus pravilo na zahtevo nista isto, bližnjica na domačem zaslonu do povezave pa tudi ne.
Preizkusite primer okvare tako, da onemogočite tunel in opazujete, ali zahteva odide. Če odide, meja, ki ste jo dokumentirali, ni meja, ki ste jo uvedli.
Odločite s tremi vprašanji
Prvič, ali nadzorujete storitev ali le telefon? Drugič, ali sme naprava zakonito uporabljati javni internet za vse drugo? Tretjič, ali je telefon upravljan in kdo ga upravlja? Lastništvo storitve in upravljana flota pomenita, da je na voljo katera koli plast, medtem ko lastništvo samo telefona naredi odjemalsko politiko edino možnost in ta mora biti podprta.
Odgovorite na te tri, preden se dotaknete profila. Takrat konfiguracija preneha biti ugibanje o tem, kaj pomeni potrditveno polje z imenom Never.