Апликација на iPhone-у не проналази локалне уређаје док је VPN укључен
Двоја врата одлучују може ли апликација на iPhone-у преко VPN-а да дође до штампача или телевизора: дозвола за Локалну мрежу и руте самог тунела. Проверите их редом.
Апликација за штампу приказује празан списак, апликација камере јавља да уређај није пронађен, а дугме за пренос у видео-апликацији се врти док не одустане. Икона VPN-а стоји у статусној траци, телефон има пун сигнал и Safari без проблема учитава странице, па на вези ништа не изгледа покварено. Затим отворите подешавања саме апликације и не нађете ништа за пребацивање.
Наишао сам тачно на тај зид са штампачем налепница у кућној мрежи: апликацији никада није одобрен приступ локалној мрежи, а профил који сам тестирао био је пуни тунел који је гутао сваки пакет адресиран на 192.168.1.0/24. Двоја независна врата била су затворена и отварање једних не би уклонило симптом.
Двоја врата између једне апликације и једног штампача
Прва врата су одлука о приватности која припада оперативном систему, а не апликацији. iOS одлучује сме ли апликација да шаље саобраћај на адресе у локалној мрежи и пита корисника при првом покушају апликације. Друга врата су табела усмеравања. Пакет намењен 192.168.1.50 или излази преко Wi-Fi-ја ка штампачу или улази у тунел, а тај избор је записан у профилу VPN-а.
Двоја врата отказују на различите начине и управо то омогућава дијагнозу. Одбијено одобрење убија сопствени позив сокета у апликацији, па апликација нема шта да пријави и пада назад у опште празно стање. Проблем са усмеравањем изгледа као истек времена, јер су пакети напустили телефон и умрли негде на другој страни. Исти празан екран, друга поправка.
Прочитајте стање одобрења пре него што дирате VPN
Отворите Подешавања, затим Приватност и безбедност, затим Локална мрежа. Свака апликација која је затражила приступ појављује се тамо са прекидачем. Apple је делове овог екрана премештао и преименовао између iOS-а 14 и iOS-а 18, па ако ставка није тамо где је очекујете, упишите Локална мрежа у поље претраге подешавања уместо да претражујете цело стабло.
Људе највише ухвати једнократно питање. iOS пита када апликација први пут дотакне локалну мрежу и само тада. Додирните Не дозволи и питање се при следећем покретању не враћа; прекидач је једини пут назад и на почетку је искључен. Поновна инсталација апликације ресетује одлуку, зато неке теме за решавање проблема тврде да је реинсталација поправила откривање. Јесте, брисањем одбијања.
На надгледаном или управљаном iPhone-у прекидач је понекад сив. Профил подешавања приватности који пошаље MDM може унапред поставити или закључати приступ локалној мрежи, а закључан искључен прекидач значи да је поправка промена правила, а не промена телефона. Apple документује питање и прекидач по апликацији овде: support.apple.com/en-us/102229.
Проверите шта тунел заиста усмерава
Пуни тунел узима 0.0.0.0/0 и с њим сваки приватни опсег. Пакети за 10.x, 172.16.0.0/12 и 192.168.x.x путују на сервер, који их обично одбацује или преводи у сопствену подмрежу, па штампач остаје недоступан и после одобрења дозволе. Подељени тунел чини супротно, али само за опсеге које профил наводи.
Профили IKEv2 направљени у Apple Configurator-у или достављени као .mobileconfig то изражавају поставком слања целокупног саобраћаја плус, у подељеном режиму, изричитим списком локалних мрежа које треба искључити. Клијентске апликације изграђене на NEPacketTunnelProvider изражавају исту одлуку кроз includedRoutes. Ни једно ни друго није видљиво из статусне траке, а обоје преписује оно што апликација очекује.
Ово је тест који користим. Са повезаним VPN-ом отворите у Safari-ју администраторску страницу рутера на његовој LAN адреси. Ако се јавне странице учитавају док та страница истекне, ваш приватни опсег је у тунелу. Ако се страница учита, локални саобраћај и даље излази преко Wi-Fi-ја и блокада је негде другде.
Повежите симптом са вратима
Две апликације на истом телефону могу се не слагати јер се дозвола даје по апликацији, а руте по профилу. Упоредите шта откаже пре него што било шта промените: образац обично сам именује врата.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
Ред mDNS заслужује напомену. Саобраћај откривања за Bonjour и већину протокола преноса иде мултикастом на 224.0.0.251 и ff02::fb са дометом локалне везе, а усмерени тунел га не преноси. Зато уређај може одговорити на директну везу, а да се никада не појави на списку.
Тестирајте радњу, не икону
Након што пребаците Локалну мрежу, присилно затворите апликацију из пребацивача апликација и поново је покрените. Процес који ради може задржати одбијено стање од пре промене, а апликација која и даље враћа празан списак изгледа једнако без обзира на то да ли је дозвола прорадила. Затим изведите једну конкретну радњу, на пример одштампајте пробну страницу или покрените видео, уместо да чекате да се списак уређаја напуни.
Држите профил VPN-а непромењеним током поређења. Ако откривање почне да ради тек после одспајања, научили сте да је крив тунел, а не дозвола. Мењајте једну променљиву по покушају, иначе вам следећи круг неће рећи ништа.
Поправите овим редом
След у наставку је онај којег се сада држим, јер телефон никада не оставља у напола промењеном стању у којем је следећи тест нечитљив.
- Проверите да ли је апликација наведена под Приватност и безбедност, Локална мрежа, и да ли је њен прекидач укључен.
- Присилно затворите и поново покрените апликацију, па једном поновите стварну радњу.
- Отворите страницу рутера на LAN адреси док сте повезани како бисте доказали да ли је приватни опсег у тунелу.
- Ако јесте, уредите профил да искључи локалне мреже или замолите власника профила да то уради.
- Ако је прекидач сив, третирајте уређај као управљан и проследите захтев администратору.
Обично важи само једна. Ако ниједна не промени резултат, преостали сумњивци су сама мрежа, попут изолације приступне тачке или списка дозвољених клијената везаног за Wi-Fi адресе, а табела пресликавања горе показује која.