VPN на iPhone-у по доменима: одлучите где се одбијање дешава
NeverConnect спречава покретање VPN-а; не блокира веб-сајт. Одлучите да ли одбијање припада граници услуге или управљаној политици.
Два захтева се записују као једна реченица и затим спроводе на потпуно различитим местима. „Ова страница мора бити доступна само преко VPN-а“ је изјава о пријему, а њено природно место је мрежа испред услуге. „Овај iPhone никада не сме директно контактирати ту домену“ је изјава о уређају и само је управљана клијентска политика може изразити. Одлучите који од њих заиста имате пре него што отворите уређивач профила.
Два захтева која звуче исто
Узмите илустративни домаћин records.corp.example. У случају пријема објављујете га само на адресе иза VPN-а, па директан покушај са телефона на мобилној мрежи пада на мрежи, док исти захтев кроз тунел успева и још увек захтева праву пријаву на налог. У случају уређаја телефон може достићи јавни интернет, па се домаћин разрешава и одговара свима, а једино место за заустављање покушаја је уређај. Услуга не може применити правило за захтев који никада не стигне до ње.
Погрешно читање захтева испољава се као конкретно распоређивање. Запис је и даље јаван, оператер верује да је VPN обавезан, а ревизија мобилног покушаја показује да захтев никада није ушао у тунел. Ништа у дневницима не изгледа покварено, јер ништа није било блокирано.
Читајте акције процене дословно
Механизам на захтев има два одвојена слоја акција, а њихово мешање ствара већину забуне овде. Акција спољашњег правила одлучује шта се дешава са тунелом када правило одговара, а акција процене везе одлучује шта се дешава са подударањем имена домаћина унутар правила процене. Apple-ова Never Connect референца описује само други слој.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect је вредност која се најчешће погрешно чита, јер име сугерише блокирање. Она управља покретањем тунела за подударно име домаћина, а не дозволом телефона да достигне име, па Never Connect запис није блокирање домене. Назвати га тако у пројектном документу је начин да се распоређивање одобри са границом примене коју нема.
Када услуга припада вама, примењујте на граници
Ограничавање пријема значи објавити име само тамо где пут кроз VPN може до њега доћи, а затим проверити да предвиђени пут ради, а други пут не. Покријте сваки објављени запис, обе породице адреса ако их објављујете, и свако посредно или алтернативно име које апликација користи. Стари CNAME који још показује на јавни балансер оптерећења одржава директни пут живим, колико год главни запис био уредан.
Ово штити услугу, а не уређај. Не спречава телефон да пошаље DNS упит и не спречава апликацију да покуша. Ако су ти покушаји прихватљиви, примена на граници је јефтинији и трајнији избор, јер важи за сваког клијента, а не само за оне које сте конфигурисали. Такође преживљава телефон који никада није био пријављен.
Када телефон не сме ни да покуша, потребна је управљана политика
Заустављање покушаја захтева подржану политику примене која покрива апликацију или одредишта пре везе, током квара тунела и после промене мреже. Замолите добављача VPN-а или управљања уређајима да именује ту политику, каже да ли захтева организационо управљање и опише на шта још утиче. Тунел по апликацији плус правило на захтев нису иста ствар, а ни пречица са почетног екрана до везе.
Тестирајте случај квара искључивањем тунела и посматрањем да ли захтев излази. Ако излази, граница коју сте документовали није граница коју сте применили.
Одлучите са три питања
Прво, да ли контролишете услугу или само телефон? Друго, сме ли уређај легитимно да користи јавни интернет за све остало? Треће, да ли је телефон управљан и од кога? Поседовање услуге плус управљани парк значи да је било који слој доступан, док поседовање само телефона чини клијентску политику једином опцијом и она мора бити подржана.
Одговорите на та три пре него што дотакнете профил. Тада конфигурација престаје да буде нагађање о томе шта значи поље за штиклирање под називом Never.