VPN แยกตามแอปบนแอป iPhone ที่จัดการ: อะไรถูกส่งเส้นทางและอะไรไม่
อุโมงค์แยกตามแอปตามแอปที่จัดการ ไม่ใช่โทรศัพท์ ตรวจสอบการเชื่อมโยงเพย์โหลด สำเนาที่จัดการ กฎตามคำขอ และโฟลว์ที่ออกจากแอป
VPN แยกตามแอปบน iPhone ไม่ใช่สวิตช์ของทั้งโทรศัพท์ เป็นการเชื่อมโยงระหว่างแอปที่จัดการหนึ่งตัวกับเพย์โหลด VPN หนึ่งรายการ สร้างขึ้นตอนติดตั้งแอป และทราฟฟิกของอย่างอื่นยังคงเส้นทางเดิม ดังนั้น โทรศัพท์เครื่องเดิมจึงทำงานไม่สม่ำเสมอ: แอปงานเปิดหน้าส่วนตัวขณะที่ Safari ไปไม่ถึงโฮสต์เดียวกัน หรืออุโมงค์ไม่ขึ้นเลยและแอปรายงานการหมดเวลาที่ดูเหมือนข้อมูลรับรองผิด การตรวจไล่จากสาเหตุที่กว้างที่สุดลงมา จึงหยุดที่จุดแรกที่ล้มเหลว
ตรวจเพย์โหลดและระเบียนแอปก่อน
การเชื่อมโยงอยู่ในสองวัตถุ ไม่ใช่วัตถุเดียว เพย์โหลด VPN กำหนดอุโมงค์ ทั้งชนิด เซิร์ฟเวอร์ การรับรองความถูกต้อง DNS และตัวระบุบันเดิลของผู้ให้บริการเมื่อใช้ไคลเอนต์กำหนดเอง ระเบียนแอปชี้ไปที่เพย์โหลดนั้น และคอนโซลการจัดการส่วนใหญ่เสนอเป็นตัวเลือกแยกตามแอปในการกำหนดค่าแอป ด้วยชื่อใกล้เคียง Per-App VPN เพย์โหลดที่ไม่มีแอปใดชี้ไปจะไม่ส่งเส้นทางใด ๆ แยกตามแอป แต่ทำตัวเหมือนอุโมงค์ธรรมดาที่ต้องมีคนเริ่มด้วยมือ
อ่านทั้งสองวัตถุก่อนแตะโทรศัพท์ ยืนยันว่าการกำหนดค่าแอปชี้ไปที่เพย์โหลดที่คุณทดสอบ ไม่ใช่สำเนาเก่า เพราะเพย์โหลดซ้ำชื่อเกือบเหมือนกันพบบ่อยหลังการย้ายข้อมูล และแอปจะชี้ไปที่ตัวที่ถูกถอนอย่างสบายใจ จากนั้นยืนยันว่าการกำหนดค่าถึงอุปกรณ์แล้ว การตั้งค่า ทั่วไป VPN และการจัดการอุปกรณ์ต้องแสดงเป็นโปรไฟล์ที่ติดตั้งแล้ว รายการ VPN ที่นั่นไม่ใช่การทดสอบ บริการแยกตามแอปมักไม่มีสวิตช์มือ ดังนั้นการกำหนดค่าที่ติดตั้งถูกต้องอาจไม่ปรากฏในรายการ VPN ที่เริ่มได้เลย การไม่มีอยู่เห็นได้ในระเบียนแอปและดูว่าอุโมงค์ขึ้นเมื่อแอปส่งคำขอแรกหรือไม่
เงื่อนไขเดียวอธิบายตั๋วได้หลายใบ โมเดลนี้ต้องการให้แอปมาทางการจัดการ สำเนาที่ติดตั้งข้างหรือซื้อเองไม่ได้รับการเชื่อมโยง แม้ตัวระบุบันเดิลจะตรงกัน คู่มือการติดตั้ง VPN ของ Apple อธิบายโมเดลเพย์โหลดเบื้องหลัง (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).
ยืนยันว่าแอปที่ติดตั้งคือสำเนาที่จัดการ
การเชื่อมโยงตามแอปที่ติดตั้งและถูกจัดการ หากมีคนติดตั้งใหม่จาก App Store ด้วย Apple ID ส่วนตัว แทนที่ด้วยบิลด์องค์กรที่ลงนามใหม่ หรืออุปกรณ์ลงทะเบียนใหม่และแอปกลับมาทางช่องทางอื่น อุโมงค์อาจอยู่ข้างล่างขณะที่แอปเองดูปกติทั้งหมด
ทดสอบด้วยการเปรียบเทียบ ไม่ใช่การสังเกตครั้งเดียว ในคลังการจัดการ แอปต้องแสดงเป็นถูกจัดการสำหรับอุปกรณ์นั้นพร้อมการแมป VPN ในระเบียน บนโทรศัพท์ อุโมงค์ต้องขึ้นเมื่อแอปเริ่มและคำขอแรกออกไป ไม่ใช่เฉพาะเมื่อมีคนเริ่มการกำหนดค่ามือแยกในการตั้งค่า หากการเปิดแอปไม่เปลี่ยนอะไรและการกำหนดค่ามือนั้นเปลี่ยน แอปไม่ได้ผูกกับอุโมงค์แยกตามแอปเลย
การอัปเดตสำคัญ ตัวที่ผลักผ่านการจัดการรักษาการแมป ขณะที่การติดตั้งใหม่ที่ผู้ใช้เริ่มอาจทำให้หาย หากปัญหามีวันที่จากการอัปเดต ให้ตรวจระเบียนแอปก่อนเครือข่าย
ตรวจว่าอุโมงค์รับอะไรได้
อุโมงค์แยกตามแอปถูกเลือกโดยแอปต้นทาง ดังนั้นเส้นทางเริ่มต้นของโทรศัพท์ยังเป็นของ Wi-Fi หรือเซลลูลาร์ OverridePrimary คือกุญแจที่เปลี่ยนสิ่งนี้ เมื่อโปรไฟล์ตั้งค่า อุโมงค์ทำตัวเป็นอุโมงค์เต็มและทุกแอปรับสืบทอด ดังนั้นทุกอย่างที่ผ่าน VPN จึงเป็นคำถามเรื่องโปรไฟล์ ไม่ใช่ความล้มเหลวของแอป
กฎตามคำขอเป็นตัวกำหนดความต่อเนื่อง OnDemandEnabled และชุดกฎทำให้อุโมงค์กลับมาเมื่อแอปส่งทราฟฟิก ทนการสลับจาก Wi-Fi ไปเซลลูลาร์ หรือลดลงเมื่อแอปไปเบื้องหลัง การติดตั้งที่เชื่อมต่อแล้วตายเงียบมักมีกฎที่ตรงกับโพรบที่ไม่เคยทำงานขณะแอปว่าง
จากนั้นอ่านด้านเส้นทางอย่างซื่อสัตย์ หากโปรไฟล์ผู้ให้บริการหรือผู้ขายมีรายการรวม อุโมงค์ที่พกเฉพาะ 10.20.0.0/16 จะไม่พกบริการใน 10.30.0.0/16 นั่นคือรายการทำงานของมัน ไม่ใช่ความล้มเหลวแยกตามแอป เพย์โหลด iOS ในตัวไม่มีรายการรวม หากไม่มี การแบ่งจะตามค่าเริ่มต้นของผู้ให้บริการและ IncludeAllNetworks ไม่ใช่รายการที่ซ่อน
ทดสอบแอป แล้วทดสอบสิ่งที่ออกจากแอป
ทดสอบด้วยชื่อ ไม่ใช่แค่ที่อยู่ การแก้โฮสต์ภายในในแอปที่จัดการพิสูจน์ว่า DNS ก็ผ่านอุโมงค์ เพราะเพย์โหลดกำหนดว่าจะมีรีโซลเวอร์ใดตอบและโดเมนค้นหาใดใช้ การกำหนดเส้นทางอาจสมบูรณ์ขณะค้นชื่อล้มเหลว และอาการสองอย่างชี้ไปที่การตั้งค่าต่างกัน
จากนั้นทดสอบขอบจากทั้งสองด้าน แอปส่วนตัวหรือ Safari ควรไปถึงหน้าสาธารณะปกติและรายงานที่อยู่ผู้ให้บริการหรือที่บ้าน ขณะที่แอปที่จัดการไปถึงบริการส่วนตัว หากทั้งคู่รายงานที่อยู่สาธารณะเดียวกัน อุโมงค์ไม่ใช่แยกตามแอปอีกต่อไป ไม่ว่าระเบียนแอปจะอ้างอะไร
โฟลว์ที่ออกจากแอปทำให้เกิดตั๋วสับสน ลิงก์ที่เปิดใน Safari เอกสารที่ส่งผ่านแผ่นแชร์ หรือการลงชื่อเข้าใช้ SSO ที่เปลี่ยนไปเบราว์เซอร์ ออกจากโปรเซสของแอปและอุโมงค์ไปด้วย การลงชื่อเข้าใช้ที่แสดงในแอปมักถูกถือเป็นของแอป ดังนั้นการลงชื่อแบบฝังอาจสำเร็จในที่ที่ URL เดียวกันล้มเหลวใน Safari ตรวจสอบแทนการสันนิษฐาน เมื่อผู้ให้บริการระบุตัวตนเข้าถึงได้เฉพาะทางอุโมงค์ ให้เก็บการลงชื่อไว้ในแอปหรือเพิ่มโดเมนของผู้ให้บริการในโดเมน Safari ของเพย์โหลด เพื่อดักทราฟฟิก Safari ที่ตรงกัน
จับคู่อาการกับชั้น
รูปร่างของความล้มเหลวบอกว่าต้องตรวจซ้ำข้อใด
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
หลังบรรทัดกลางมีสองรายละเอียด อุโมงค์แยกตามแอปอาจแข็งแรงแต่พลาดซับเน็ตที่ไม่มีในรายการผู้ให้บริการใด และโทรศัพท์ที่จัดการอาจถือการกำหนดค่า VPN มากกว่าหนึ่ง ดังนั้นยืนยันว่าแอปผูกกับตัวไหนแทนการถือว่าคือตัวที่คุณอ่าน
แก้ตามลำดับนี้ แก้ระเบียนแอปให้ชี้เพย์โหลดที่ใช้งาน ติดตั้งแอปใหม่ผ่านการจัดการ ยืนยันว่าอุโมงค์ขึ้นเมื่อแอปส่งคำขอแรก แล้วทำการทดสอบชื่อและขอบซ้ำ หากคำขอแรกเริ่มอุโมงค์ไม่ได้เลย ให้หยุดและตรวจฝั่งผู้ให้บริการ เพราะไคลเอนต์กำหนดเองต้องมี Network Extension ที่มีอยู่และตัวระบุที่ตรงกับแอปที่ติดตั้ง.
คืนข้อเท็จจริงสามข้อแทนภาพหน้าจอ ระเบียนแอปชี้เพย์โหลดใด การตั้งค่าแสดงเป็นโปรไฟล์ที่ติดตั้งหรือไม่ และคำขอที่ล้มเหลวคืออะไร ชื่อ ที่อยู่ หรือการส่งต่อไปเบราว์เซอร์ คำตอบสามข้อนี้แยกความผิดพลาดตอนติดตั้งจากความผิดพลาดด้านเส้นทาง และคนถัดไปลงมือได้โดยไม่ต้องวินิจฉัยซ้ำ