Sida xeerarka domain-ka Apple VPN On Demand u bilaabaan tunnel

Tunnel-ku wuu furmaa markaad codsato hal magac gudaha ah, wuuna xirmaa marka app-ka xiga uu u baahan yahay si la mid ah. Taasi ma aha khalad ku jira app-ka; waa qaabka xeer domain. Habaynta on-demand ee Apple waxay qeexdaa shuruudaha sameynta xiriir, qaabka domain-ka ee shuruudahaasna waxay weyddiisaa resolver-ka nidaamka su’aal ka hor inta aan hal baakad dhaqaaqin. Laba su’aal ayaa si joogto ah isku qaldama: goorta tunnel-ku kori doono, iyo waxa tunnel-ku qaado marka uu jiro. Tan koowaad waa trigger, tan labaad waa siyaasadda waddooyinka iyo resolver-ka, hal profile-na badanaa labadaba wuxuu dhigaa isla payload, taas darteed xeer domain oo sax ah weli wuxuu kaa tagi karaa shabakad qaldan.

Trigger-ka iyo doorashada gaadiidka waxay ku yaallaan lakabyo kala duwan

Xeerka on-demand wuxuu ku nool yahay qaamuuska on-demand ee payload VPN: liis xeerar ah oo taxan, mid walba leh fal iyo go’an shuruudo isku mid ah. Nidaamku waxay qiimeeyaan marka xiriirku is beddelo ama marka wax shabakadda gaadhaan isku dayo, falna wuxuu go’aamiyaa in tunnel-ka la koro, la qiimeeyo, la gooyo ama la iska indhatiro. Waxaas oo dhan waxay dhacaan lakabka shabakadda ee platform-ka, ka hor inta app-kaagu socket helin.

Waxa xiga waa koox kii ah oo gaar ah: dejinta IPv4 iyo IPv6 ee tunnel-ka, waddooyinkiisa lagu daray iyo kuwa laga saaray, cinwaannada server-ka DNS, iyo iOS iyo iPadOS khariidad kasta oo app ah oo go’aamisa app-yada keeni kara tunnel-ka. Profile wuxuu isku lami karaa trigger ballaaran iyo waddo dhuuban, ama trigger dhuuban iyo waddo caadi ah. Akhri hal barkood oo keliya, barka kalena wuxuu u ekaan doonaa cillad.

Waxaan hayaa profile shaybaadh ah oo isku xira marka wax ka hooseeya domain gudaha la codsado laakiin kaliya hal /16 u mara tunnel-ka. Wuxuu sameeyaa si sax ah waxa payload-kiisu sheegayo, waana nooca profile-ka ee soo saara tikidhada: dadku waxay u maleynayaan in tunnel xiran uu ka dhigan yahay in gaadiidkoodu ku jiro.

Waxa xeer domain uu resolver-ka weyddiisto

Qaabka domain ee xeerka, oo inta badan loo yaqaan connect-if-needed, ma baarto payload-ka baakadaha mana ilaalinayso URL-yada. Marka magac la xalliyo, nidaamku wuxuu la barbardhigaa domain-yada xeerka dhexdiisa, haddii uu isku beegmo wuxuu weyddiinayaa in magacaas lagu xallin karo server-yada DNS ee tunnel-ku bixiyo. Haddii resolver-ka tunnel-ku jawaabo, magacaa waxaa loo arkaa mid gudaha ah xiriirkuna wuu bilaabmaa. Haddii resolver-ka maxalliga ah jawaabo, magacaa waxaa loo arkaa mid dibadda ah tunnel-na ma soo baxo. Guudmarka hirgelinta Apple waxay tan ku tilmaantaa ogaanshaha shabakadda iyo ka dib qiimeynta xiriirka.

Laba natiijo ayaa ka dhalata. Profile-ku waa inuu magacaabaa server-yada DNS gudaha tunnel-ka; xeer domain oo aan lahayn resolver tunnel ma laha wax uu barbardhigto, sidaas darteed qiimeyntu ma soo saari karto isku beegmaha aad filayso. Iyo raadinta waa inay gaadhaa resolver-ka nidaamka. App ama browser isticmaala DNS-kooda sir ah, fidin ka jawaaba gudaha, ama xiriir cinwaan macno ah ma soo saaraan xallinta magaca ee xeerku sugayay. Mid ka mid ah galabaha ugu dheer ee aan qaatay waxay dhammaatay markii aan ogaaday in macmiilka tunnel-ka hortiisa uu isticmaalayay DNS over HTTPS.

Kaydinta sidoo kale waxay meesha ka saartaa trigger-ka. Magac hore ugu jira kaydka waxaa laga jawaabi karaa iyada oo aan la isticmaalin baaritaanka tunnel-ka bilaabi lahaa, sidaas darteed xeer shalay shaqeynayay wuu fashilmaa ka dib dib u bilaabid ama ka dib markii tunnel-ku muddo kor joogay. macOS sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder wuxuu dib u dejiyaa xaaladda; iOS beddelka habka diyaaradda ama dib u bilaabista qalabka waxay ku siinaysaa bilow nadiif ah oo la barbardhigi karo.

Baaxadda isku beegmaha: magacyo, app-yo iyo shabakado

Isku beegmaha domain waa hal nooc oo ka mid ah dhowr. Xeerku wuxuu kaloo la isku beegi karaa nooca interface-ka (Wi-Fi, mobile, Ethernet) iyo SSID gaar ah, gelitaanka app kasta ama domain Safari-na wuxuu tunnel-ka ku xiraa hal socod werko. Xidhnaantaas waxay sharraxaysaa waayo-aragnimada yaabka leh ee hal app oo keliya si ka duwan wax kasta u dhaqanto: app-yada kale waxay ka baxsan yihiin baaxadda tunnel-ka, sidaas darteed waxay sii wadaan isticmaalka waddada maxalliga ah xitaa marka calaamadda tunnel-ku sheegto xiran.

Nidaamku waa muhiim ka badan inta dadku filayaan. Xeerarka waxaa lagu qiimeeyaa si isku xigxiga oo kan ugu horreeya ee isku beegma ayaa bixiya fal, sidaas darteed xeer ballaaran oo ku xir-Wi-Fi-kasta oo la dhigo xeer domain dhuuban korkiisa ayaa si aamusan guuleysanaya oo xeerka domain-ka ka dhigi doona mid aan la tijaabin karin. Ka hor inta aadan dib u qorin liiska domain-yada, xaqiiji in aanay jirin xeer hore oo hore u isku beegmay.

Taas darteed always-on ma aha oo keliya xeer on-demand adag. Dhaqangelinta always-on waa hab hirgelin oo gaar ah oo leh shuruudihiisa kormeer iyo maamul; wuxuu tunnel-ka furan hayaa halkii uu ka jawaabi lahaa magac. Haddii waxa aad u baahan tahay yahay tunnel aan waligiis dhicin, xeer domain waa qalab khaldan.

Hababka fashilka ee u eg xeer jabay

Inta badan warbixinnada sheegaya in xeer domain aanu shaqeynayn waxay ku dhacaan mid ka mid ah shan meelood, oo kaliya kan ugu dambeeya ayaa ah qoraalka xeerka.

Portallada captive waxay mudan yihiin sadar u gaar ah, sababtoo ah Wi-Fi hotelada iyo garoonka diyaaradaha wuxuu qabtaa isla raadintaas oo xeerku ku tiirsan yahay. Ilaa portal-ku u oggolaado qalabka inuu soo galo, server-ka DNS ee tunnel-ka lama gaari karo, baaritaanku wuu fashilmaa, fashilkuna wuxuu u ekaadaa domain si khaldan loo qoray. Xaqiijintu waa kiiska kale ee aamusan: xeerku wuu kici karaa, tunnel-ku wuu bilaabi karaa xiriir, xiriirkuna wuxuu ku dhintaa shahaado dhacday ama codsi ka soo baxa shaashad kale.

IPv6 wuxuu abuuraa nooc si khaldan loo ogaado. Magac leh labada qoys cinwaan ayaa laga yaabaa in marka hore laga jawaabo diiwaanka AAAA, halka liiska waddooyinka tunnel-ku uu qaado kaliya IPv4. Hal browser wuu guuleystaa, mid kalena wuu fashilmaa, liiska domain-yaduna gebi ahaanba wax qalad ah ma laha.

Ku tijaabi codsi dhab ah, nidaamkan

Akhri siyaasadda ka hor inta aadan qiyaasin. macOS sudo profiles show -type configuration wuxuu daabacaa profile-yada la rakibay oo ay ku jiraan payload VPN, scutil --nc list wuxuu muujiyaa xaaladda adeegga, scutil --nc show <service> wuxuu daabacaa qaamuuska on-demand ee nidaamku isticmaalo. iPhone ama iPad la maamulo isla payload-kaas wuxuu ka yimaadaa console-ka maamulka ama warbixin MDM. Diiwaannada shabakadda waxaa laga heli karaa log stream --predicate 'subsystem == "com.apple.networkextension"' macOS, iyo console-ka qalabka marka telefoonku xiran yahay.

Kadib ku tijaabi magac martigeliye aan hore loo weydiin jirin kulankan. Dooro magac ku jira aagga DNS ee tunnel-ka oo aad ogtahay in gudaha loo xalliyo, hal mar codso, oo fiiri in tunnel-ku soo baxo. Isticmaal isla raadinta laba jeer: isku dayga labaad wuxuu tababaraa waddada kaydka, farqiga u dhexeeya labadana wuxuu kuu sheegayaa in trigger-ku yahay xallinta ama waddo-marinta.

Marka tunnel-ku koro, si gooni ah u xaqiiji labada lakab. netstat -rn -f inet iyo netstat -rn -f inet6 waxay muujiyaan halka horgale kastaa tilmaamayo, scutil --dns waxay muujiyaan nidaamka resolver-yada iyo interface-ka leh resolver kasta, nettop -m route waxay muujiyaan interface-ka qaaday baytyada. Haddii tunnel-ku kor yahay oo resolver-ku sax yahay laakiin khayraadku weli fashilmo, jooji tafatirka xeerka; hubi ogolaanshaha dhinaca server-ka iyo waddada dib u noqodka.

Marka xeerku uu qof kale leeyahay

Haddii tunnel-ku mar kale soo baxo ka dib markaad goyso, xeerku badanaa wuxuu leeyahay profile ee ma aha app: habayn MDM ku riixday, profile shaqsi ah oo hadhay, ama profile macmiil kale rakibay. sudo profiles show -type configuration iyo raadinta furayaasha on-demand way cidhiidhin doonaan, waddada ka saaristuna waa profile-ka, ma aha badhanka ku jira bar-menu. Tirtirka gelitaanka adeegga ama app-ka wuxuu xeerka ka tagaa, rakibidda xigtana mar kale way dhaxashaa.

Hal tijaabo ayaa go’aamisa lahaanshaha: gooy, sug, mar kale codso magaca gudaha. Haddii tunnel-ku soo noqdo, trigger-ku wuxuu u shaqeeyaa sida loo qorsheeyay, su’aasha furanna waa yaa maamula iyo in baaxaddaas tahay waxa aad rabto.

Ka hor inta aadan tan u soo sheegin khalad, mar samee shanta baaritaan ee la mid ah: cinwaannada resolver-ka tunnel-ku waxay ku jiraan payload-ka, magac aan la kaydin, ma jiro xeer hore oo hore u isku beegmay, waddo AAAA oo liiska waddooyinku daboolayo, iyo app-ka oo ku jira baaxadda tunnel-ka. Marka shanta oo dhan ay sax yihiin, xeerku wuxuu qabanayaa shaqadiisa, khaladkuna wuxuu sii jiraa waddada horay.