Ano talaga ang ginagawa ng field na Proxy sa isang Apple VPN profile
Ang pagpuno sa isang field ng proxy ay hindi ginagawang HTTP ang isang VPN. May dalawang koneksyon na kasangkot, at isa lang sa mga ito ang naaabot ng field.
Ang pagpuno sa field na Proxy sa isang Apple VPN configuration ay parang dapat nitong ilipat ang tunnel sa isang web port. Hindi nito ginagawa iyon. Pinipili ng field ang isang tagapamagitan sa antas ng aplikasyon para sa trapikong pinipili ng isang compatible na app na ipadala doon. Ang koneksyon ng VPN client mismo sa gateway nito ay pinamamahalaan ng protocol, listener at transport na na-configure mo, at magkakaibang desisyon ang mga iyon.
Dalawang koneksyon, dalawang may-ari
Anumang ganitong setup ay may koneksyon mula client patungong gateway at koneksyon mula app patungong destinasyon. Ang seksyong Proxy ay tungkol sa pangalawa, kahit nasa parehong profile ito ng una.
| Connection | What decides its behaviour |
|---|---|
| VPN client to VPN gateway | The supported protocol, the listening port, the transport and the network policy in between |
| Application to a selected proxy | The application's own proxy support, the configured proxy policy, and the route to that next hop |
Ang reference ng mga setting ng proxy ng Apple ay naglilista ng HTTP, HTTPS, SOCKS at automatic proxy configuration, na naglalarawan ng mga pagpipilian sa proxy ng mga app. Wala sa mga entry na iyon ang nagsasabi kung paano nakakarating ang isang IPsec o WireGuard packet sa isang gateway.
Narito ang mabilis na pagsusuri na nagtatapos nito. Sabihin ang port at protocol na iniuulat ng VPN client sa log nito. Kung sinasabi pa rin ng linyang iyon ang UDP 500 o UDP 51820, wala itong binago ang field ng proxy.
Kailan ang field ang tamang kasangkapan
May tunay na kaso kung saan ang isang proxy ay nasa harap ng tunnel, ngunit ito ay feature ng client at hindi field ng profile. Ang manwal ng OpenVPN ay nagdodokumento ng --http-proxy para sa mga TCP connection na dinadala sa isang HTTP CONNECT proxy. Kailangan para magamit ito ang tugmang opsyon ng client, isang gateway na maaabot sa ganoong paraan, at isang proxy na pinapayagan ang CONNECT sa port na ginagamit.
Kung inilalabas ng iyong client ang opsyong iyon at pinapayagan ng network ang CONNECT sa port, maaaring gumana ito. Kung hindi ito inilalabas ng client, walang epekto sa tunnel ang pagpuno ng system proxy.
Kailan walang binabago
Ang isang IKEv2 o IPsec profile ay hindi nagiging HTTP tunnel dahil puno ang field ng proxy. Hindi rin ang WireGuard, na ang format ng configuration ay walang konsepto ng proxy. Ang pagpapalit ng port ng gateway ay hindi rin nagbabago ng protocol nito. At ang isang endpoint na sumasagot sa ordinaryong HTTPS ay hindi awtomatikong VPN listener.
Ang parehong bitag ay humuhuli sa mga nagko-copy ng profile mula sa panahon ng PPTP mula sa lumang gabay sa iPad. Nandiyan pa rin ang mga opsyon sa interface; hindi na nagsasalita sa protocol na iyon ang serbisyong nasa likod nito.
Pagpasiya kung aling layer ang aayusin
Itanong kung aling layer ang nabigo bago magbago ng anuman. Kung hindi makapagtatag ng session ang client, ang transport ang problema at walang kaugnayan ang field ng proxy. Kung buhay ang tunnel pero may isang app na hindi makarating sa server nito, sulit suriin ang proxy ng app. Kung buhay ang tunnel at lahat ng app ay nabigo, ang routing at DNS sa loob ng tunnel ang pinagsususpetsahan.
Para sa unang kaso, itanong sa operator kung aling aprubadong alternatibong transport o network ang sinusuportahan nito. Umiiral ang OpenVPN sa TCP 443 dahil may mga network na iyon lang ang pinapayagan, at kailangan pa ring makinig dito ang server.
Huwag ituring na pahintulot sa pag-improvise ang isang naka-block na UDP port. Panatilihing buo ang mga pagsusuri ng certificate o identity ng gateway sa halip na patayin ang mga ito para magkasya ang handshake.
Kumpirmahin ang dalawang layer nang isa-isa
Kumpirmahin muna ang tunnel: tingnan sa status page ng client ang naitatag na session at bilang ng byte na hindi zero. Pagkatapos basahin nang direkta ang setting ng proxy, gamit ang scutil --proxy para sa epektibong configuration o networksetup -getwebproxy Wi-Fi para sa naka-save na halaga. Pagkatapos subukan ang isang app na gumagalang sa system proxy at isa na hindi, dahil maraming native app ang hindi gumagalang dito.
Tatlong resulta, tatlong magkaibang pagwawasto.
Kung parehong nag-uulat ng tagumpay ang dalawang layer at nabibigo pa rin ang app, tingnan ang split tunneling, DNS at ang sariling network setting ng app. Iyon ay ikatlong layer, at hindi rin iyon ang field ng proxy.