VPN по апликацији на управљаним iPhone уређајима: шта се рутира, а шта не
Тунел по апликацији прати управљану апликацију, а не телефон. Проверите повезивање товара, управљану копију, правила на захтев и токове који излазе из апликације.
VPN по апликацији на iPhone-у није прекидач за цео телефон. То је повезивање једне управљане апликације са једним VPN товаром, настало приликом распоређивања апликације, а саобраћај свега осталог задржава претходну путању. Зато исти телефон се понаша недоследно: радна апликација отвара приватну страницу док Safari не стиже до истог хоста, или се тунел уопште не подиже и апликација пријављује истек времена који изгледа као погрешни акредитиви. Провере иду од најширег узрока надоле, зато станите на првој која не успе.
Прво проверите товар и запис апликације
Повезивање живи у два објекта, не у једном. VPN товар дефинише тунел: тип, сервер, аутентикацију, DNS и идентификатор пакета провајдера када се користи прилагођени клијент. Запис апликације указује на тај товар, и већина конзола за управљање то нуди као опцију по апликацији у конфигурацији апликације, са именом близу Per-App VPN. Товар на који не указује ниједна апликација не рутира ништа по апликацији; понаша се као обичан тунел који неко мора ручно да покрене.
Прочитајте оба објекта пре него што додирнете телефон. Потврдите да конфигурација апликације указује на товар који тестирате, а не на његову стару копију, јер су дуплирани товари са скоро истим именима чести после миграције и апликација радо указује на повучени. Затим потврдите да је конфигурација стигла до уређаја: Подешавања, Опште, VPN и управљање уређајем морају да је прикажу као инсталирани профил. Тамошња VPN листа није тест. Услуга по апликацији обично нема ручни прекидач, зато се исправно распоређена конфигурација можда никада не појави међу VPN-овима који могу да се покрену. Одуство се види у запису апликације и у томе да ли се тунел подиже при првом захтеву апликације.
Један услов објашњава много тикета: овај модел захтева да апликација дође кроз управљање. Странично инсталирана или лично купљена копија не добија повезивање, чак и када се њен идентификатор пакета поклапа. Apple-ов водич за распоређивање VPN-а описује модел товара иза овога (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).
Потврдите да је инсталирана апликација управљана копија
Повезивање прати инсталирану, управљану апликацију. Ако је неко поново инсталирао из App Store-а са личним Apple ID-јем, заменио је поново потписаним корпоративним билдом, или је уређај поново регистрован и апликација се вратила другим каналом, тунел може остати доле док сама апликација изгледа потпуно нормално.
Тестирајте поређењем, не једним запажањем. У инвентару управљања апликација мора да се приказује као управљана за тај уређај са мапирањем VPN-а у запису. На телефону тунел треба да се подигне када се апликација покрене и када изађе њен први захтев, не само када неко у Подешавањима покрене одвојену ручну конфигурацију. Ако покретање апликације ништа не мења, а та ручна конфигурација мења, апликација уопште није везана за тунел по апликацији.
Ажурирања су важна: оно гурнуто кроз управљање задржава мапирање, док поновна инсталација коју покрене корисник може да га изгуби. Када жалба датира од ажурирања, проверите запис апликације пре мреже.
Проверите шта тунел сме да узме
Тунел по апликацији се бира по изворној апликацији, зато подразумевана путања телефона и даље припада Wi-Fi-ју или мобилној мрежи. OverridePrimary је кључ који то мења. Када га профил постави, тунел се понаша као потпун тунел и свака апликација га наслеђује, тако да све што иде преко VPN-а постаје питање профила, а не квар апликације.
Правила на захтев одређују постојаност. OnDemandEnabled и његов скуп правила враћају тунел када апликација шаље саобраћај, преживљавају прелазак са Wi-Fi-ја на мобилну мрежу или га спуштају када апликација пређе у позадину. Распоређивање које се повеже и затим тихо умре обично има правило које одговара само сонди која се никада не активира док је апликација неактивна.
Затим прочитајте страну путања искрено. Ако профил провајдера или продавца даје листу укључивања, тунел који носи само 10.20.0.0/16 неће носити услугу у 10.30.0.0/16; то листа ради свој посао, а не квар по апликацији. Уграђени iOS товар нема листу укључивања. Без ње подела следи провајдерове подразумеване вредности и IncludeAllNetworks, а не скривену листу.
Тестирајте апликацију, затим тестирајте шта излази из ње
Тестирајте по имену, не само по адреси. Решавање унутрашњег хоста у управљаној апликацији доказује да је и DNS прошао кроз тунел, јер товар одређује који резолвер одговара и који домени претраге важе. Рутирање може бити савршено док претрага имена не успева, и два симптома указују на различита подешавања.
Затим тестирајте границу са обе стране. Лична апликација или Safari треба да достигну обичну јавну страницу и пријаве адресу оператера или куће, док управљана апликација достиже приватну услугу. Ако обе пријаве исту јавну адресу, тунел више није по апликацији, шта год тврдио запис апликације.
Токови који излазе из апликације стварају збуњујуће тикете. Линк који се отвори у Safari-ју, документ предат преко листа за дељење или SSO пријава која пређе у прегледач напуштају процес апликације и са њим тунел. Пријава приказана унутар апликације обично се приписује апликацији, зато уграђена пријава може да успе тамо где исти URL не успева у Safari-ју; проверите то уместо да претпостављате. Када је добављач идентитета доступан само преко тунела, држите пријаву у апликацији или додајте домен добављача у Safari домене товара, да се одговарајући Safari саобраћај ухвати.
Ускладите симптом са слојем
Облик квара каже коју проверу поновити.
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
Иза средњих редова стоје два детаља: тунел по апликацији може бити здрав и ипак пропустити подмрежу које нема ни на једној листи провајдера, а управљан телефон може да држи више од једне VPN конфигурације, зато потврдите на коју је апликација везана уместо да претпоставите да је то она коју читате.
Поправите овим редом: усмерите запис апликације на активни товар, поново инсталирајте апликацију кроз управљање, потврдите да се тунел подиже при првом захтеву апликације, затим поновите тестове имена и границе. Ако први захтев уопште не може да покрене тунел, станите и проверите страну провајдера, јер прилагођени клијент захтева постојећи Network Extension и идентификатор који одговара инсталираној апликацији.
Вратите три чињенице уместо снимка екрана: на који товар указује запис апликације, да ли га Подешавања приказују као инсталирани профил и какав је био неуспешни захтев — име, адреса или прелаз у прегледач. Ова три одговора раздвајају грешку распоређивања од грешке рутирања, и следећа особа може да делује без понављања дијагнозе.