VPN na aplikacijo v upravljanih iPhone: kaj se usmerja in kaj ne
Tunel na aplikacijo sledi upravljani aplikaciji, ne telefonu. Preverite povezavo tovora, upravljano kopijo, pravila na zahtevo in tokove, ki zapustijo aplikacijo.
VPN na aplikacijo v iPhone ni stikalo za celoten telefon. Je povezava med eno upravljano aplikacijo in enim tovorom VPN, ustvarjena ob uvajanju aplikacije, promet vsega drugega pa obdrži prejšnjo pot. Zato se isti telefon vede nedosledno: delovna aplikacija odpre zasebno stran, medtem ko Safari ne doseže istega gostitelja, ali tunel sploh ne vstane in aplikacija sporoči časovno omejitev, ki je videti kot napačni poverilnice. Preverjanja gredo od najširšega vzroka navzdol, zato se ustavite pri prvem, ki spodleti.
Najprej preverite tovor in zapis aplikacije
Povezava živi v dveh objektih, ne v enem. Tovor VPN določa tunel: vrsto, strežnik, preverjanje pristnosti, DNS in identifikator paketa ponudnika pri uporabi klienta po meri. Zapis aplikacije kaže na ta tovor in večina upravljalnih konzol to ponuja kot možnost na aplikacijo v konfiguraciji aplikacije, z imenom blizu Per-App VPN. Tovor, na katerega ne kaže nobena aplikacija, ne usmerja ničesar na aplikacijo; vede se kot običajen tunel, ki ga mora nekdo zagnati ročno.
Preberite oba objekta, preden se dotaknete telefona. Potrdite, da konfiguracija aplikacije kaže na tovor, ki ga preizkušate, in ne na njegovo staro kopijo, ker so po selitvi pogosti podvojeni tovori s skoraj enakimi imeni in aplikacija rada kaže na umaknjenega. Nato potrdite, da je konfiguracija prispela na napravo: Nastavitve, Splošno, VPN in upravljanje naprave jo morajo prikazati kot nameščen profil. Seznam VPN tam ni preizkus. Storitev na aplikacijo običajno nima ročnega stikala, zato se pravilno nameščena konfiguracija morda nikoli ne pojavi med VPN, ki jih je mogoče zagnati. Odsotnost je vidna v zapisu aplikacije in v tem, ali tunel vstane ob prvi zahtevi aplikacije.
En pogoj pojasni veliko zahtevkov: ta model zahteva, da aplikacija pride prek upravljanja. Kopija, nameščena ob strani ali kupljena osebno, povezave ne dobi, tudi ko se njen identifikator paketa ujema. Applov vodnik za uvajanje VPN opisuje model tovora za tem (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).
Potrdite, da je nameščena aplikacija upravljana kopija
Povezava sledi nameščeni, upravljani aplikaciji. Če jo je nekdo znova namestil iz App Store z osebnim Apple ID, jo zamenjal s ponovno podpisano poslovno različico ali je bila naprava znova registrirana in se je aplikacija vrnila po drugem kanalu, lahko tunel ostane spodaj, medtem ko je aplikacija videti povsem običajna.
Preizkušajte s primerjavo, ne z enim opažanjem. V upravljalnem inventarju se mora aplikacija prikazati kot upravljana za to napravo z preslikavo VPN v zapisu. Na telefonu mora tunel vstati ob zagonu aplikacije in ob odhodu njene prve zahteve, ne le ko nekdo v Nastavitvah zažene ločeno ročno konfiguracijo. Če zagon aplikacije ničesar ne spremeni in ta ročna konfiguracija ga, aplikacija sploh ni vezana na tunel na aplikacijo.
Posodobitve so pomembne: tista, poslana prek upravljanja, obdrži preslikavo, medtem ko jo lahko ponovna namestitev, ki jo začne uporabnik, izgubi. Ko je pritožba datirana od posodobitve, preverite zapis aplikacije pred omrežjem.
Preverite, kaj lahko tunel prevzame
Tunel na aplikacijo se izbere po izvorni aplikaciji, zato privzeta pot telefona še vedno pripada Wi-Fi ali mobilnemu omrežju. OverridePrimary je ključ, ki to spremeni. Ko ga profil nastavi, se tunel vede kot polni tunel in vsaka aplikacija ga podeduje, zato vse, kar gre skozi VPN, postane vprašanje profila in ne okvara aplikacije.
Pravila na zahtevo odločajo o vztrajanju. OnDemandEnabled in njegov nabor pravil vrneta tunel, ko aplikacija pošilja promet, preneseta prehod z Wi-Fi na mobilno omrežje ali ga spustita, ko aplikacija preide v ozadje. Uvedba, ki se poveže in nato tiho umre, ima običajno pravilo, ki ustreza le sondi, ki se nikoli ne sproži, medtem ko aplikacija miruje.
Nato preberite stran poti pošteno. Če profil ponudnika ali prodajalca da seznam vključitve, tunel, ki nosi le 10.20.0.0/16, ne bo nosil storitve v 10.30.0.0/16; to seznam opravlja svoje delo, ne okvara na aplikacijo. Vgrajeni tovor iOS nima seznama vključitve. Brez njega delitev sledi privzetim vrednostim ponudnika in IncludeAllNetworks, ne skritemu seznamu.
Preizkusite aplikacijo, nato preizkusite, kaj iz nje pride
Preizkušajte z imenom, ne le z naslovom. Razrešitev notranjega gostitelja v upravljani aplikaciji dokazuje, da je tudi DNS šel skozi tunel, ker tovor določa, kateri razreševalnik odgovori in katere iskalne domene veljajo. Usmerjanje je lahko popolno, medtem ko iskanje imena spodleti, in dva simptoma kažeta na različne nastavitve.
Nato preizkusite mejo z obeh strani. Osebna aplikacija ali Safari bi morala doseči običajno javno stran in sporočiti naslov operaterja ali doma, medtem ko upravljana aplikacija doseže zasebno storitev. Če oba sporočita isti javni naslov, tunel ni več na aplikacijo, kar koli trdi zapis aplikacije.
Tokovi, ki zapustijo aplikacijo, ustvarjajo zmedene zahtevke. Povezava, ki se odpre v Safari, dokument, predan prek lista za deljenje, ali prijava SSO, ki preide v brskalnik, zapustijo proces aplikacije in z njim tunel. Prijava, prikazana v aplikaciji, se običajno pripiše aplikaciji, zato lahko vgrajena prijava uspe tam, kjer ista URL v Safari spodleti; to preverite, namesto da predpostavljate. Ko je ponudnik identitete dosegljiv le prek tunela, držite prijavo v aplikaciji ali dodajte domeno ponudnika med domene Safari tovora, da se ujame ustrezni promet Safari.
Ujemite simptom s plastjo
Oblika okvare pove, katero preverjanje ponoviti.
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
Za srednjimi vrsticami sta dve podrobnosti: tunel na aplikacijo je lahko zdrav in vseeno zgreši podomrežje, ki ga ni na nobenem seznamu ponudnika, in upravljani telefon ima lahko več kot eno konfiguracijo VPN, zato potrdite, na katero je aplikacija vezana, namesto da predpostavljate, da je tista, ki jo berete.
Popravite v tem vrstnem redu: usmerite zapis aplikacije na aktivni tovor, znova namestite aplikacijo prek upravljanja, potrdite, da tunel vstane ob prvi zahtevi aplikacije, nato ponovite preizkusa imena in meje. Če prva zahteva sploh ne more zagnati tunela, se ustavite in preverite stran ponudnika, ker klient po meri potrebuje obstoječi Network Extension in identifikator, ki ustreza nameščeni aplikaciji.
Vrnite tri dejstva namesto posnetka zaslona: na kateri tovor kaže zapis aplikacije, ali ga Nastavitve prikazujejo kot nameščen profil in kakšna je bila neuspešna zahteva — ime, naslov ali prehod v brskalnik. Ti trije odgovori ločijo napako uvajanja od napake usmerjanja in naslednja oseba lahko ukrepa brez ponavljanja diagnoze.