Dva VPN-a na iPhonu hkrati: kateri nosi tvoj promet?

Dve aplikaciji VPN obe prikazujeta Connected, in predpostavka je, da promet zdaj poteka skozi obe, ena znotraj druge. Običajno ni tako. iOS ima poseben model sobivanja in ta ni veriga. En razred konfiguracije je omejen na eno omogočeno instanco, druga lahko deluje ob njej, in prioriteta poti odloča o sporih. Dve prižgani stikali nista dva skoka. Model je dokumentiran, kar pomeni, da je pot mogoče predvideti, namesto ugibati iz ikon.

Mit: dva povezana VPN-a sta veriga

Veriga z dvema skokoma potrebuje določen zunanji prenos, določen notranji tunel, združljivo usmerjanje končnih točk in načrt, kaj se zgodi, ko eden od njiju odpove. Dve neodvisni konfiguraciji tega ne ustvarita le zato, ker obstajata hkrati. Prioriteta poti ni isto kot enkapsulacija, in dejstvo, da ena konfiguracija zmaga pri iskanju poti, ne pove ničesar o tem, ali druga nosi nastale pakete.

Če potrebujete gnezdenje, ga načrtujte kot gnezdenje. Ne sklepajte tega iz dveh indikatorjev povezave. Ta razlika prihrani veliko razhroščevanja.

Dokumentirani model za tem mitom

NETunnelProviderManager podjetja Apple opisuje običajne podjetniške konfiguracije VPN in navaja, da je hkrati mogoče omogočiti samo eno te vrste. Ista referenca dovoljuje, da Personal VPN ostane omogočen in povezan ob njem, in daje podjetniškim potem prednost tam, kjer se obe prekrivata.

Personal VPN je tukaj termin API za vgrajeno implementacijo IPsec ali IKEv2, ki jo upravlja NEVPNManager. NETunnelProviderManager je model ponudnika tunela. Potrošniška aplikacija lahko uporabi model ponudnika, zato ime izdelka, ki vsebuje personal, tega ne razvrsti.

Apple dokumentira eno dovoljeno kombinacijo, dovoljenje pa vam ne pove, da so profili dveh ponudnikov združljivi, zato vsakega ponudnika vprašajte, kateri par je podprt. Njihove vrste konfiguracij, poti in pravilniki še vedno odločajo o izidu.

Mit: osebni VPN dobi promet brskanja

Delovni profil, ki zahteva vsako ciljno točko, bo zmagal pri iskanju poti tudi za javno brskanje, zato osebni izhod ne nosi ničesar od tega. Po dokumentirani prioriteti podjetniške poti zmagajo tam, kjer trčijo, zato javno brskanje ne prevzame samodejno osebnega izhoda samo zato, ker tudi ta aplikacija poroča o povezavi. Ožja delovna konfiguracija lahko spremeni sliko usmerjanja, vendar lahko odjemalec organizacije še vedno naloži zahteve glede DNS, blokiranja ali naprave. Podprto ureditev pridobite pri njenem lastniku, namesto da bi te zahteve urejali lokalno.

Upravljane konfiguracije za posamezno aplikacijo imajo svoj obseg. Pravila na ravni naprave ne posplošujte na vsako upravljano uvedbo.

Pred preskusom zapišite dva toka: zasebno ime in obseg delovne storitve ter novo zahtevo za javno brskanje. Oba sta legitimna in potrebujeta različna preverjanja.

Prioriteta poti z delovnim profilom razdeljenega tunela

Delovni profil z razdeljenim tunelom zahteva navedene zasebne predpone in notranjo pripono DNS, in te poti zmagajo pri vsakem iskanju, ki se z njimi ujema. Javne ciljne točke, ki se ne ujemajo z nobeno podjetniško potjo, padejo na fizično povezavo, razen če jih osebni VPN zahteva prvi. Pravilo prioritete odloča le o prekrivajočih se ujemanjih, zato je treba oba profila brati kot tabele poti in ne kot ikone.

Par zapišite v dve vrstici in poimenujte pričakovanega zmagovalca za vsako: ime delovnega gostitelja, ki se razreši v 10.x ali 172.16.x, bi moralo izstopiti skozi podjetniški tunel, javni naslov brez ustrezne predpone pa bi moral prevzeti preostalo privzeto pot. Če obe vrstici navajata isti izhod, delitev ne dela tega, kar opisuje dokumentacija.

Zapišite dva toka in preverite vsakega

Za vsak tok zapišite, katera odobrena konfiguracija naj ga nosi in kateri razreševalnik naj prejme vsako vrsto imena. Nato preverite s svežimi zahtevami, ne s predpomnjeno delovno stranjo ali starim rezultatom IP.

Ustavite eno konfiguracijo in ponovite oba toka. Vedenje ob okvari je del zasnove in to je del, ki ga uporabniki opazijo. Ko dva ponudnika ne moreta podpreti kombinacije, se odločite za eno odobreno konfiguracijo in dokumentirajte, kateri tok nosi, ali preidite na upravljano zasnovo z enim tunelom. Dokumentacija NETunnelProviderManager je vir pravila sobivanja.