Aplikacioni i iPhone nuk gjen pajisje lokale kur VPN është aktiv
Dy porta vendosin nëse një aplikacion i iPhone arrin një printer ose televizor përmes VPN: leja për Rrjetin lokal dhe rrugët e vetë tunelit. Kontrollojini me radhë.
Aplikacioni i printerit shfaq një listë bosh, aplikacioni i kamerës raporton se nuk u gjet pajisje, dhe butoni i transmetimit në një aplikacion video rrotullohet derisa të dorëzohet. Ikona e VPN qëndron në shiritin e statusit, telefoni ka sinjal të plotë dhe Safari ngarkon faqet pa problem, kështu që asgjë në lidhje nuk duket e prishur. Pastaj hapni cilësimet e vetë aplikacionit dhe nuk gjeni asgjë për të ndërruar.
U përplasa pikërisht me këtë mur me një printer etiketash në një rrjet shtëpiak: aplikacionit nuk i ishte dhënë kurrë akses në rrjetin lokal, dhe profili që po testoj ishte një tunel i plotë që gëlltiste çdo paketë të adresuar 192.168.1.0/24. Dy porta të pavarura ishin mbyllur, dhe hapja e njërës nuk do ta kishte hequr simptomën.
Dy porta midis një aplikacioni dhe një printeri
Porta e parë është një vendim privatësie që i përket sistemit operativ dhe jo aplikacionit. iOS vendos nëse një aplikacion mund të dërgojë trafik te adresat në rrjetin lokal, dhe e pyet përdoruesin herën e parë që aplikacioni provon. Porta e dytë është tabela e rrugëtimit. Një paketë e drejtuar te 192.168.1.50 ose del përmes Wi-Fi drejt printerit, ose hyn në tunel, dhe kjo zgjedhje është shkruar në profilin e VPN.
Dy portat dështojnë në mënyra të ndryshme, dhe pikërisht kjo e bën të mundur diagnozën. Një leje e refuzuar vret vetë thirrjen e socket-it të aplikacionit, kështu që aplikacioni nuk ka çfarë të raportojë dhe bie në një gjendje bosh të përgjithshme. Një problem rrugëtimi duket si skadim kohe, sepse paketat lanë telefonin dhe vdiqën diku në anën tjetër. I njëjti ekran bosh, riparim tjetër.
Lexoni gjendjen e lejes përpara se të prekni VPN
Hapni Cilësimet, më pas Privatësia dhe siguria, më pas Rrjeti lokal. Çdo aplikacion që ka kërkuar akses shfaqet atje me një çelës. Apple ka zhvendosur dhe riemërtuar pjesë të këtij ekrani midis iOS 14 dhe iOS 18, kështu që nëse zëri nuk është aty ku e prisni, shkruani Rrjeti lokal në fushën e kërkimit të cilësimeve në vend që të gërmoni pemën.
Ajo që kap njerëzit është kërkesa njëherëshe. iOS pyet kur një aplikacion prek për herë të parë rrjetin lokal, dhe vetëm atëherë. Trokitni Mos lejo dhe kërkesa nuk kthehet në hapjen tjetër; çelësi është rruga e vetme prapa, dhe fillimisht është i fikur. Riinstalimi i aplikacionit e rivendos vendimin, prandaj disa tema për zgjidhjen e problemeve pretendojnë se një riinstalim e rregulloi zbulimin. E rregulloi, duke fshirë refuzimin.
Në një iPhone të mbikëqyrur ose të menaxhuar çelësi ndonjëherë është gri. Një ngarkesë e preferencave të privatësisë e dërguar nga MDM mund të paracaktojë ose të bllokojë aksesin në rrjetin lokal, dhe një çelës i bllokuar që është i fikur do të thotë se riparimi është një ndryshim politike dhe jo një ndryshim telefoni. Apple dokumenton kërkesën dhe çelësin për çdo aplikacion këtu: support.apple.com/en-us/102229.
Kontrolloni çfarë rrugëton në të vërtetë tuneli
Një tunel i plotë merr 0.0.0.0/0 dhe bashkë me të çdo interval privat. Paketat për 10.x, 172.16.0.0/12 dhe 192.168.x.x udhëtojnë te serveri, i cili zakonisht i hedh ose i përkthen në nënrrjetin e vet, kështu që printeri mbetet i paarritshëm edhe pasi të jepni lejen. Një tunel i ndarë bën të kundërtën, por vetëm për intervalet që rendit profili.
Profilet IKEv2 të ndërtuara me Apple Configurator ose të shpërndara si .mobileconfig e shprehin këtë si një cilësim për të dërguar të gjithë trafikun plus, në modalitetin e ndarë, një listë të qartë të rrjeteve lokale për t’u përjashtuar. Aplikacionet klientë të ndërtuara mbi NEPacketTunnelProvider e shprehin të njëjtin vendim përmes includedRoutes. Asnjëra nuk është e dukshme nga shiriti i statusit, dhe të dyja anashkalojnë atë që aplikacioni pret të shohë.
Ky është testi që përdor. Me VPN të lidhur, hapni faqen e administrimit të ruterit në adresën e tij LAN në Safari. Nëse faqet publike ngarkohen ndërsa ajo faqe skadon, intervali juaj privat është brenda tunelit. Nëse faqja ngarkohet, trafiku lokal ende del përmes Wi-Fi dhe bllokimi është diku tjetër.
Lidhni simptomën me portën
Dy aplikacione në të njëjtin telefon mund të nuk bien dakord, sepse leja jepet për aplikacion ndërsa rrugët jepen për profil. Krahasoni çfarë dështon përpara se të ndryshoni gjë: modeli zakonisht e emërton vetë portën.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
Rreshti mDNS meriton një shënim. Trafiku i zbulimit për Bonjour dhe shumicën e protokolleve të transmetimit shkon si multicast te 224.0.0.251 dhe ff02::fb me shtrirje lidhjeje lokale, dhe një tunel i rrugëtuar nuk e mbart atë. Kjo është arsyeja pse një pajisje mund t’i përgjigjet një lidhjeje të drejtpërdrejtë pa u shfaqur kurrë në një listë.
Testoni veprimin, jo ikonën
Pasi të keni ndryshuar çelësin Rrjeti lokal, detyrojeni aplikacionin të mbyllet nga ndërruesi i aplikacioneve dhe nisni përsëri. Një proces që punon mund ta mbajë gjendjen e refuzuar që nga përpara ndryshimit, dhe një aplikacion që vazhdon të kthejë një listë bosh duket njësoj pavarësisht nëse leja funksionoi apo jo. Pastaj kryeni një veprim konkret, si të shtypni një faqe testuese ose të nisni një video, në vend që të prisni që lista e pajisjeve të mbushet.
Mbajeni profilin e VPN të pandryshuar gjatë krahasimit. Nëse zbulimi fillon të funksionojë vetëm pasi shkëputeni, keni mësuar se fajtori është tuneli, jo leja. Ndryshoni një variabël për provë, përndryshe raundi tjetër nuk ju thotë asgjë.
Rregullojeni në këtë rend
Sekuenca më poshtë është ajo që ndjek tani, sepse nuk e lë kurrë një telefon në një gjendje gjysmë të ndryshuar ku testi tjetër është i palexueshëm.
- Konfirmoni se aplikacioni është renditur te Privatësia dhe siguria, Rrjeti lokal, dhe se çelësi i tij është i ndezur.
- Detyrojeni mbylljen, riniskni aplikacionin dhe provoni edhe një herë veprimin e vërtetë.
- Hapni faqen e ruterit në adresën LAN ndërsa jeni të lidhur, për të provuar nëse intervali privat kalon në tunel.
- Nëse kalon, redaktoni profilin që të përjashtojë rrjetet lokale, ose kërkoni nga pronari i profilit ta bëjë.
- Nëse çelësi është gri, trajtojeni pajisjen si të menaxhuar dhe përcillni kërkesën te administratori.
Zakonisht zbatohet vetëm njëra. Nëse asnjëra nuk e ndryshon rezultatin, të dyshuarit e mbetur janë vetë rrjeti, si izolimi i pikës së aksesit ose një listë e klientëve të lejuar e lidhur me adresat Wi-Fi, dhe tabela e përputhjes më sipër tregon cila.