VPN sa iPhone ayon sa domain: magpasya kung saan nangyayari ang pagtanggi
Pinipigilan ng NeverConnect ang VPN na magsimula; hindi nito hinaharangan ang isang website. Magpasya kung ang pagtanggi ay nasa hangganan ng serbisyo o sa isang pinamamahalaang patakaran.
Dalawang pangangailangan ang isinusulat bilang isang pangungusap at pagkatapos ay ipinapatupad sa ganap na magkaibang lugar. Ang «Ang site na ito ay dapat maabot lamang sa pamamagitan ng VPN» ay pahayag tungkol sa pagtanggap, at ang natural na tahanan nito ay ang network sa harap ng serbisyo. Ang «Ang iPhone na ito ay hindi dapat kailanman direktang makipag-ugnayan sa domain na iyon» ay pahayag tungkol sa device, at tanging pinamamahalaang patakaran ng kliyente ang makapagpapahayag nito. Magpasya kung alin ang talagang mayroon ka bago magbukas ng editor ng profile.
Dalawang pangangailangan na magkatunog
Kunin ang halimbawang host records.corp.example. Sa kaso ng pagtanggap, ipinapahayag mo ito lamang sa mga address sa likod ng VPN, kaya ang direktang pagtatangka mula sa telepono sa cellular network ay nabigo sa network, habang ang parehong kahilingan sa pamamagitan ng tunnel ay nagtagumpay at nangangailangan pa rin ng tunay na pag-log in sa account. Sa kaso ng device, maaaring maabot ng telepono ang pampublikong internet, kaya ang host ay nareresolba at sumasagot sa lahat, at ang tanging lugar upang ihinto ang pagtatangka ay ang device. Hindi maipatupad ng serbisyo ang isang patakaran sa isang kahilingan na hindi kailanman umabot dito.
Ang maling pagbasa ng pangangailangan ay lumilitaw bilang isang partikular na deployment. Pampubliko pa rin ang record, naniniwala ang operator na mandatory ang VPN, at ang audit ng isang cellular na pagtatangka ay nagpapakita na ang kahilingan ay hindi kailanman pumasok sa tunnel. Walang mukhang sira sa mga log, dahil walang na-block.
Basahin ang mga aksyon ng pagsusuri nang literal
Ang makinarya kapag hinihiling ay may dalawang magkaibang layer ng aksyon, at ang paghahalo sa kanila ang lumilikha ng karamihan ng kalituhan dito. Ang aksyon ng panlabas na patakaran ay nagpapasya kung ano ang mangyayari sa tunnel kapag tumugma ang patakaran, at ang aksyon ng pagsusuri ng koneksyon ay nagpapasya kung ano ang mangyayari sa isang tugma ng hostname sa loob ng isang patakaran ng pagsusuri. Ang reference ng Never Connect ng Apple ay naglalarawan lamang ng pangalawang layer.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect ang value na pinakamadalas mabasa nang mali, dahil ang pangalan ay nagmumungkahi ng pagharang. Kinokontrol nito ang pagsisimula ng tunnel para sa tumutugmang hostname, hindi ang pahintulot ng telepono na maabot ang isang pangalan, kaya ang entry na Never Connect ay hindi pagharang ng domain. Ang pagtawag dito nang ganoon sa isang dokumento ng disenyo ay ang paraan kung paano inaprubahan ang isang deployment na may hangganan ng pagpapatupad na wala ito.
Kapag pag-aari mo ang serbisyo, ipatupad sa hangganan
Ang paghihigpit sa pagtanggap ay nangangahulugan ng pag-publish ng pangalan lamang kung saan maaabot ito ng landas ng VPN, pagkatapos ay subukan na gumagana ang inaasahang landas at hindi gumagana ang ibang landas. Saklawin ang bawat na-publish na record, ang parehong pamilya ng address kung ipinapahayag mo ang mga ito, at anumang intermediate o alternatibong pangalan na ginagamit ng app. Ang lumang CNAME na tumuturo pa rin sa isang pampublikong load balancer ay nagpapanatili sa direktang landas na buhay, gaano man kaayos ang pangunahing record.
Pinoprotektahan nito ang serbisyo kaysa sa device. Hindi nito pinipigilan ang telepono na magpadala ng DNS query, at hindi nito pinipigilan ang app na subukan. Kung ang mga pagtatangkang iyon ay katanggap-tanggap, ang pagpapatupad sa hangganan ang mas murang at mas matibay na pagpipilian, dahil nalalapat ito sa bawat kliyente at hindi lamang sa mga na-configure mo. Nakakaligtas din ito sa isang teleponong hindi kailanman nairehistro.
Kapag hindi dapat subukan ng telepono, kailangan mo ng pinamamahalaang patakaran
Ang paghinto sa pagtatangka ay nangangailangan ng sinusuportahang patakaran ng pagpapatupad na sumasaklaw sa app o mga destinasyon bago ang koneksyon, habang may pagkabigo ng tunnel at pagkatapos ng pagbabago ng network. Hilingin sa provider ng VPN o pamamahala ng device na pangalanan ang patakarang iyon, sabihin kung nangangailangan ito ng organizational management, at ilarawan kung ano pa ang naaapektuhan nito. Ang tunnel kada app at patakaran kapag hinihiling ay hindi pareho, at ang shortcut sa home screen patungo sa koneksyon ay hindi rin.
Subukan ang kaso ng pagkabigo sa pamamagitan ng pag-disable ng tunnel at pagmamasid kung lumalabas ang kahilingan. Kung lumalabas, ang hangganang naidokumento mo ay hindi ang hangganang ipinatupad mo.
Magpasya gamit ang tatlong tanong
Una, kinokontrol mo ba ang serbisyo o ang telepono lamang? Ikalawa, maaari bang gamitin ng device ang pampublikong internet nang lehitimo para sa lahat ng iba pa? Ikatlo, pinamamahalaan ba ang telepono, at kanino? Ang pagmamay-ari ng serbisyo at isang pinamamahalaang fleet ay nangangahulugan na alinman sa layer ay magagamit, habang ang pagmamay-ari lamang ng telepono ay ginagawang tanging pagpipilian ang patakaran ng kliyente at dapat itong suportahan.
Sagutin ang tatlong iyon bago hawakan ang isang profile. Pagkatapos ay hihinto ang configuration sa pagiging hulaan tungkol sa ibig sabihin ng isang checkbox na pinangalanang Never.