Два iPhone VPN-а истовремено: који носи ваш саобраћај?

Две VPN апликације обе приказују Connected, а претпоставка је да саобраћај сада иде кроз обе, једна унутар друге. Обично није тако. iOS има посебан модел коегзистенције, и он није ланац. Једна класа конфигурације ограничена је на једну омогућену инстанцу, друга може да ради поред ње, а приоритет рута одлучује сукобе. Два укључена прекидача нису два скока. Модел је документован, што значи да пут може да се предвиди уместо да се погађа из икона.

Мит: два повезана VPN-а су ланац

Ланац од два скока захтева дефинисан спољни транспорт, дефинисан унутрашњи тунел, компатибилно рутирање крајњих тачака и план за то шта се дешава када један од њих откаже. Две независне конфигурације то не стварају само постојањем у исто време. Приоритет руте није исто што и инкапсулација, а победа једне конфигурације у претрази руте не говори ништа о томе да ли друга носи настале пакете.

Ако вам је потребно угнежђавање, пројектујте га као угнежђавање. Не изводите то из два индикатора везе. Та разлика штеди много отклањања грешака.

Документовани модел иза овог мита

NETunnelProviderManager компаније Apple описује уобичајене корпоративне VPN конфигурације и наводи да се у исто време може омогућити само једна те врсте. Иста референца дозвољава Personal VPN-у да остане омогућен и повезан поред ње, и даје корпоративним рутама предност тамо где се две преклапају.

Овде је Personal VPN термин API-ја за уграђену имплементацију IPsec или IKEv2 којом управља NEVPNManager. NETunnelProviderManager је модел добављача тунела. Потрошачка апликација може да користи модел добављача, па назив производа који садржи personal то не класификује.

Apple документује једну дозвољену комбинацију, а дозвола вам не говори да су профили два добављача компатибилни, зато питајте сваког добављача који је пар подржан. Њихови типови конфигурација, руте и политике и даље одлучују о резултату.

Мит: лични VPN добија саобраћај прегледања

Радни профил који полаже право на сва одредишта победиће претрагу руте и за јавно прегледање, па лични излаз не носи ништа од тога. Према документованом приоритету корпоративне руте побеђују тамо где се сукобљавају, па јавно прегледање не прелази аутоматски на лични излаз само зато што и та апликација пријављује повезаност. Ужа радна конфигурација може да промени слику рутирања, али клијент организације ипак може да наметне захтеве за DNS, блокирање или уређај. Затражите подржани распоред од његовог власника уместо да те захтеве уређујете локално.

Управљане конфигурације по апликацији имају сопствени обим. Не преносите правило на нивоу уређаја на свако управљано распоређивање.

Запишите два тока пре теста: приватно име и распон радне услуге и нови захтев за јавно прегледање. Оба су легитимна и траже различите провере.

Приоритет рута са радним профилом подељеног тунела

Радни профил са подељеним тунелом полаже право на наведене приватне префиксе и унутрашњи DNS суфикс, и те руте побеђују сваку претрагу која се с њима подудара. Јавна одредишта која не одговарају ниједној корпоративној рути падају на физичку везу, осим ако лични VPN први положи право на њих. Правило приоритета одлучује само о преклапајућим подударањима, зато два профила морају да се читају као табеле рута, а не као иконе.

Запишите пар као два реда и именујте очекиваног победника за сваки: име радног хоста које се разрешава на 10.x или 172.16.x треба да изађе кроз корпоративни тунел, а јавна адреса без одговарајућег префикса треба да преузме преосталу подразумевану руту. Ако оба реда именују исти излаз, подела не ради оно што документација описује.

Запишите два тока и проверите сваки

За сваки ток запишите која одобрена конфигурација треба да га носи и који резолвер треба да прими сваки тип имена. Затим проверите новим захтевима, а не кешираном радном страницом или старим IP резултатом.

Зауставите једну конфигурацију и поновите оба тока. Понашање при отказу је део дизајна, и то је део који корисници примете. Када два добављача не могу да подрже комбинацију, определите се за једну одобрену конфигурацију и документујте који ток она носи, или пређите на управљани дизајн са једним тунелом. Документација NETunnelProviderManager-а је извор правила коегзистенције.