Always On VPN kumpara sa VPN On Demand sa iPhone: ano ang i-deploy

Dalawang iPhone ang parehong makapagsasabi ng VPN ngunit magkaibang-magkaiba ang kilos. Nagbubukas ang On Demand ng tunnel kapag tumugma ang isang patakaran, at maaari pa ring patayin ito ng user sa Settings. Ang pinamamahalaang Always On ay nagpapanatili ng saklaw na ipinatutupad sa isang supervised na device, kasama ang mga sandaling hindi makabangon ang tunnel. Pumili sa pamamagitan ng pagtatanong kung ano ang dapat totoo kapag walang ginagawa ang user, pagkatapos ay subukan ang mga paglipat, hindi ang steady state. Ang mga hakbang sa ibaba ay sunod sa pagkakasunod-sunod kung saan talaga nabibigo ang deployment.

Hakbang 1: alamin kung ano ang kayang ipatupad ng device

Ang Always On ay feature ng supervised na device. Kung hindi supervised ang fleet, tapos ang usapan bago pa ito magsimula, at walang payload key ang gagawa ng hindi supervised na telepono na sapilitan. Kumpirmahin ang supervision mula sa panig ng management at mula sa device, pagkatapos ay kumpirmahin kung sino ang pumirma sa profile.

Sa telepono, buksan ang Settings, pagkatapos General, pagkatapos VPN at Device Management. Nakasaad sa profile entry ang may-ari nito, at ang manu-manong naka-install na personal na profile ay iba ang hitsura sa isang hatid ng management service. Huwag hulaan ang pagpapatupad mula sa pangalan ng profile o sa marketing label ng provider; ang label ay hindi patakaran ng platform.

Isulat ang tatlong katotohanan bago hawakan ang configuration: supervised o hindi, managed profile o personal, at aling client implementation ang nagdadala ng tunnel. Depende ang bawat susunod na hakbang sa tatlong iyon, at ang paglilipat ng kilos mula sa personal na telepono patungo sa managed profile ang paraan ng pagpirma ng deployment laban sa maling baseline.

Hakbang 2: basahin ang on-demand na patakaran, hindi ang pangalan ng feature

Ang On Demand ay listahan ng mga patakaran, na sinusuri ayon sa pagkakasunod-sunod. Bawat patakaran ay nagsasaad ng aksyon at ng mga kundisyong pumipili dito, at ang mga kundisyon ang kawili-wiling bahagi: uri ng interface, Wi-Fi SSID, DNS domain suffix, o test URL. Ang set ng patakarang hindi kailanman tumutugma ay feature na hindi kailanman kumokonekta.

<key>OnDemandRules</key>
<array>
  <dict>
    <key>Action</key><string>EvaluateConnection</string>
    <key>InterfaceTypeMatch</key><string>WiFi</string>
    <key>SSIDMatch</key><array><string>Office-WiFi</string></array>
  </dict>
</array>

Basahin ang buong array at magtanong ng dalawa bawat patakaran: maaari bang maging totoo ang kundisyong ito sa fleet na ito, at ano ang nangyayari kapag walang tumutugmang patakaran? Pinapalitan ng enterprise network ang pangalan ng access point, pinagsasama ang SSID at binabago ang DNS suffix, at bawat isa sa mga pagbabagong iyon ay tahimik na naghihiwalay ng patakaran sa realidad.

Ang kundisyon sa DNS suffix ang pinakamadalas mali sa field, dahil ang suffix na iniuulat ng telepono sa guest network ay hindi ang suffix na pinaglilingkuran ng corporate resolver. I-verify ang pangalang talagang nireresolba ng device bago pagkatiwalaan ang patakaran.

Hakbang 3: subukan ang mga paglipat, hindi ang static na koneksyon

Ang tunnel na nakaupo habang tinitignan mo ay kakaunti ang pinatutunayan. Sadyang isagawa ang bawat paglipat at itala ang ginagawa ng device, gamit ang parehong pribadong resource sa bawat pagkakataon upang maihambing ang mga resulta:

• Kumonekta sa network kung saan dapat tumugma ang isang patakaran, pagkatapos ay i-request ang pribadong resource at kumpirmahing naglo-load ito.
• Lumipat sa cellular habang nasa background ang app, pagkatapos ay ilagay ito sa foreground at ulitin ang request.
• Kumonekta sa Wi-Fi na may captive portal at tingnan kung maabot ang portal o hinaharangan ng pagpapatupad ang lahat bago ka makapag-authenticate.
• Manu-manong patayin ang tunnel sa supervised na device at tingnan kung kusang bumabalik ito, at gaano kabilis.

Patakbuhin ang parehong listahan sa hindi supervised na device kung mayroon ka. Ang pagkakaiba ng dalawang resulta ang tunay na kilos ng deployment, at iyon ang bahaging hindi kailanman ipinapakita ng screenshot ng nakakonektang tunnel.

Hakbang 4: kilalanin ang dalawang hugis ng pagkabigo

Nabibigo ang sapilitang saklaw sa pamamagitan ng pagharang. Kapag hindi makabangon ang tunnel, nawawala ang ordinaryong internet access kasama ng mga pribadong resource, at nararanasan ng user ang teleponong online ngunit hindi makapag-browse. Magkaibang obserbasyon ang muling pagkonekta at pagharang, kaya itala ang dalawa sa halip na ituring na isang sintomas ang walang internet.

Nabibigo ang On Demand sa hindi pag-trigger. Hindi tumutugma ang patakaran, walang tunnel na lumilitaw, at nag-expire lang ang pribadong resource. Madaling madiagnose ito nang mali bilang problema ng server, dahil kumikilos ang client nang eksakto ayon sa configuration.

Ang captive portal ay nasa pagitan ng dalawa: kailangan nito ng konektibidad bago umiral ang tunnel, kaya ang patakarang humaharang sa lahat hanggang bumangon ang tunnel ay kailangan ng dokumentadong landas sa portal. Desisyunan iyon sa disenyo, hindi sa help desk.

Hakbang 5: i-verify, pagkatapos ay sanayin ang rollback

Ang verification ay nabibilang sa tunay na landas na may hindi nakakapinsalang traffic: humiling ng pribadong resource na hindi dapat pampubliko, kumpirmahin kung anong address ang ipinapakita ng device sa labas, at ulitin pagkatapos ng reboot upang makita ang startup sequence at hindi lamang ang warm state.

Pagkatapos ay sanayin ang pagtanggal sa test device bago mo pa ito kailanganin sa production. Ang pagtanggal ng profile ay nagbabalik sa device sa dating estado, at ang pag-alam kung gaano katagal at ano ang nakikita ng user ay bahagi ng runbook. Ang gabay sa seguridad ng VPN ng Apple ang reference para sa dokumentado ng platform tungkol sa mga patakarang ito, at sulit basahin bago sumulat ng configuration na nagsasabi ng higit sa sinasabi ng platform.

Panatilihin ang tatlong katotohanan mula sa unang hakbang sa tabi ng set ng patakaran at mga resulta ng pagsubok. Kapag tinanong ng susunod na tao kung bakit kumokonekta ang telepono sa isang network at hindi sa iba, sinasagot iyon ng mga tala sa isang minuto sa halip na muling pagtatayo.