Jinsi sheria za kikoa za Apple VPN On Demand zinavyoanzisha handaki

Handaki hufunguka unapoomba jina moja la ndani na hubaki limefungwa wakati programu inayofuata inahitaji kwa kiwango sawa. Hilo si hitilafu katika programu; ni umbo la sheria ya kikoa. Mipangilio ya on-demand ya Apple inaeleza masharti ya kuunda muunganisho, na umbo la kikoa la masharti hayo huuliza kitatuzi cha mfumo swali kabla hata pakiti moja kusogea. Maswali mawili huchanganywa kila mara: handaki linapaswa kupanda lini, na handaki hubeba nini linapokuwepo. La kwanza ni kichocheo, la pili ni sera ya njia na kitatuzi, na wasifu mmoja kwa kawaida huweka yote mawili katika payload moja, ndiyo sababu sheria sahihi ya kikoa bado inaweza kukuacha kwenye mtandao usio sahihi.

Kichocheo na uteuzi wa trafiki ziko katika tabaka tofauti

Sheria ya on-demand huishi katika kamusi ya on-demand ya payload ya VPN: orodha iliyopangwa ya sheria, kila moja ikiwa na kitendo na seti ya masharti ya ulinganifu. Mfumo huzitathmini wakati muunganisho unabadilika au wakati kitu kinajaribu kufikia mtandao, na kitendo huamua kama handaki linapandishwa, linatathminiwa, linakatishwa au linapuuzwa. Yote haya hufanyika katika tabaka la mtandao la jukwaa, kabla programu yako kupata socket.

Kinachofuata ni kundi tofauti la funguo: mipangilio ya IPv4 na IPv6 ya handaki, njia zake zilizojumuishwa na zilizotengwa, anwani za seva za DNS, na kwenye iOS na iPadOS upangaji kwa kila programu unaoamua ni programu zipi zinazoweza kutumia handaki. Wasifu unaweza kuoanisha kichocheo kipana na njia nyembamba, au kichocheo chembamba na njia chaguo-msingi. Soma nusu moja tu, nusu nyingine itaonekana kama hitilafu.

Nina wasifu wa maabara unaounganisha kila kitu chini ya kikoa cha ndani kinapoombwa lakini huelekeza /16 moja tu kwenye handaki. Hufanya sawasawa na kile payload yake inavyosema, na pia ni aina ya wasifu inayozalisha tiketi: watu hudhani handaki lililounganishwa linamaanisha trafiki yao iko ndani yake.

Sheria ya kikoa huuliza nini kwa kitatuzi

Umbo la kikoa la sheria, ambalo mara nyingi huitwa connect-if-needed, halikagui payload za pakiti na halifuatilii URL. Jina linapotatuliwa, mfumo hulinganisha na vikoa vilivyo katika sheria na, likilingana, huuliza kama jina hilo linaweza kutatuliwa kupitia seva za DNS ambazo handaki hutoa. Ikiwa kitatuzi cha handaki kijibu, jina huhesabiwa kuwa la ndani na muunganisho huanza. Ikiwa kitatuzi cha ndani kijibu badala yake, jina huchukuliwa kuwa la nje na handaki halitokei. Muhtasari wa usambazaji wa Apple unaeleza hii kama ugunduzi wa mtandao ukifuatiwa na tathmini ya muunganisho.

Matokeo mawili yanafuata. Wasifu lazima utaje seva za DNS ndani ya handaki; sheria ya kikoa bila kitatuzi cha handaki haina cha kulinganisha, kwa hivyo tathmini haiwezi kutoa ulinganifu unaotarajia. Na utafutaji lazima ufikie kitatuzi cha mfumo. Programu au kivinjari kinachoendesha DNS yake iliyosimbwa, kiendelezi kinachojibu ndani, au muunganisho kwa anwani halisi kamwe huzalisha utatuzi wa jina ambao sheria ilikuwa ikisubiri. Moja ya mchana mrefu zaidi niliowahi kutumia iliisha nilipogundua kuwa mteja aliye mbele ya handaki alikuwa akitumia DNS over HTTPS.

Uhifadhi pia huondoa kichocheo. Jina lililo tayari kwenye hifadhi linaweza kujibiwa bila uchunguzi ambao ungelianzisha handaki, kwa hivyo sheria iliyofanya kazi jana hushindwa baada ya kuwasha upya, au baada ya handaki kuwa juu kwa muda. Kwenye macOS sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder hurejesha hali; kwenye iOS kuwasha na kuzima hali ya ndege au kuwasha upya kifaa hukupa mwanzo safi unaolingana.

Wigo wa ulinganifu: majina, programu na mitandao

Ulinganifu wa kikoa ni aina moja kati ya kadhaa. Sheria inaweza pia kulingana na aina ya kiolesura (Wi-Fi, selula, Ethernet) na SSID mahususi, na maingizo kwa kila programu au kikoa cha Safari hufunga handaki na mtiririko mmoja wa kazi. Ufungaji huo unaeleza uzoefu wa ajabu ambapo programu moja tu hujiendesha tofauti na kila kitu kingine: programu nyingine ziko nje ya wigo wa handaki, kwa hivyo zinaendelea kutumia njia ya ndani hata ikoni ya handaki inaposema imeunganishwa.

Mpangilio ni muhimu zaidi kuliko watu wanavyotarajia. Sheria hutathminiwa kwa mfuatano na ile ya kwanza inayolingana hutoa kitendo, kwa hivyo sheria pana ya unganisha-kwenye-Wi-Fi-yoyote iliyowekwa juu ya sheria nyembamba ya kikoa itashinda kimya kimya na kuifanya sheria ya kikoa isiweze kupimwa. Kabla ya kuandika upya orodha ya vikoa, thibitisha kuwa hakuna sheria ya awali iliyolingana tayari.

Ndiyo sababu always-on si sheria kali zaidi ya on-demand tu. Utekelezaji wa always-on ni hali tofauti ya usambazaji na mahitaji yake ya usimamizi na utawala; huweka handaki wazi badala ya kujibu jina. Ikiwa unahitaji handaki lisiloanguka kamwe, sheria ya kikoa ni chombo kisicho sahihi.

Hali za kushindwa zinazoiga sheria iliyovunjika

Ripoti nyingi kwamba sheria ya kikoa haifanyi kazi huanguka katika moja ya maeneo matano, na la mwisho pekee ndilo maandishi ya sheria.

Lango za captive zinastahili mstari wao, kwa sababu Wi-Fi ya hoteli na uwanja wa ndege hukamata utafutaji ambao sheria inategemea. Hadi lango likubali kifaa, seva ya DNS ya handaki haipatikani, uchunguzi hushindwa, na kushindwa kunaonekana kama kikoa kilichoandikwa vibaya. Uthibitishaji ni kesi nyingine ya kimya: sheria inaweza kuanza, handaki linaweza kuanza kuunganisha, na muunganisho hufa kwa cheti kilichoisha muda au kwa ombi linalotokea kwenye skrini nyingine.

IPv6 huunda lahaja ambayo ni rahisi kugundua vibaya. Jina lenye familia zote mbili za anwani linaweza kujibiwa kwanza kutoka rekodi ya AAAA, wakati orodha ya njia za handaki hubeba IPv4 pekee. Kivinjari kimoja hufanikiwa, kingine hushindwa, na orodha ya vikoa haina hatia kabisa.

Jaribu kwa ombi halisi, kwa mpangilio huu

Soma sera kabla ya kukisia. Kwenye macOS sudo profiles show -type configuration huchapisha wasifu zilizosakinishwa pamoja na payload ya VPN, scutil --nc list huonyesha hali ya huduma, na scutil --nc show <service> huchapisha kamusi ya on-demand ambayo mfumo hutumia. Kwenye iPhone au iPad inayosimamiwa payload hiyo hiyo huja kutoka konsoli ya usimamizi au ripoti ya MDM. Kumbukumbu za mtandao zinapatikana kwa log stream --predicate 'subsystem == "com.apple.networkextension"' kwenye macOS, na kupitia konsoli ya kifaa simu inapounganishwa.

Kisha jaribu kwa jina la mwenyeji ambalo halikuulizwa awali katika kikao. Chagua jina katika eneo la DNS la handaki ambalo unajua linatatuliwa ndani, liombe mara moja, na uangalie kama handaki linaonekana. Endesha utafutaji huo mara mbili: jaribio la pili hufanya mazoezi ya njia ya hifadhi, na tofauti kati ya hizo mbili inakuambia kama kichocheo ni utatuzi au uelekezaji.

Baada ya handaki kupanda, thibitisha tabaka mbili kwa tofauti. netstat -rn -f inet na netstat -rn -f inet6 huonyesha kila kiambishi kinaelekea wapi, scutil --dns huonyesha mpangilio wa vitatuzi na kiolesura gani kinamiliki kila kitatuzi, na nettop -m route huonyesha kiolesura gani kilibeba baiti. Ikiwa handaki liko juu na kitatuzi ni sahihi lakini rasilimali bado inashindwa, acha kuhariri sheria; angalia idhini ya upande wa seva na njia ya kurudi.

Wakati sheria ni ya mtu mwingine

Ikiwa handaki linaonekana tena baada ya kulikata, sheria kwa kawaida ni ya wasifu na si ya programu: usanidi uliosukumwa kupitia MDM, wasifu wa kibinafsi uliobaki, au wasifu uliosakinishwa na mteja mwingine. sudo profiles show -type configuration pamoja na utafutaji wa funguo za on-demand itaipunguza, na njia ya kuondoa ni wasifu, si swichi kwenye upau wa menyu. Kufuta kiingizo cha huduma au programu huiacha sheria nyuma, na usakinishaji unaofuata huirithi tena.

Jaribio moja huamua umiliki: kata, subiri, omba jina la ndani tena. Ikiwa handaki linarejea, kichocheo kinafanya kazi kama ilivyoundwa na swali lililo wazi ni nani anaisimamia na kama wigo huo ndio unaotaka.

Kabla ya kuripoti hili kama hitilafu, pitia ukaguzi huo mitano: anwani za kitatuzi cha handaki zipo kwenye payload, jina ambalo halikuwa kwenye hifadhi, hakuna sheria ya awali iliyolingana tayari, njia ya AAAA inayofunikwa na orodha ya njia, na programu iko ndani ya wigo wa handaki. Mitano yote inaposhikilia, sheria inafanya kazi yake na hitilafu iko mbele zaidi kwenye njia.