iPhone uygulaması VPN açıkken yerel cihazları bulamıyor
İki kapı, bir iPhone uygulamasının VPN üzerinden yazıcıya veya televizyona ulaşıp ulaşamayacağına karar verir: Yerel Ağ izni ve tünelin kendi yolları. İkisini sırayla kontrol edin.
Yazıcı uygulamanız boş bir liste gösteriyor, kamera uygulaması cihaz bulunamadığını bildiriyor ve bir video uygulamasındaki yayın düğmesi pes edene kadar dönüyor. VPN simgesi durum çubuğunda, telefon tam sinyal çekiyor ve Safari sayfaları sorunsuz açıyor, yani bağlantıda bozuk görünen bir şey yok. Sonra uygulamanın kendi ayarlarını açıyorsunuz ve değiştirecek hiçbir şey bulamıyorsunuz.
Ev ağındaki bir etiket yazıcısıyla tam bu duvara tosladım: uygulamaya hiçbir zaman yerel ağ erişimi verilmemişti ve test ettiğim profil, 192.168.1.0/24 adresine giden her paketi yutan tam bir tüneldi. Birbirinden bağımsız iki kapı kapalıydı ve birini açmak belirtiyi ortadan kaldırmazdı.
Bir uygulama ile bir yazıcı arasında iki kapı
Birinci kapı, uygulamaya değil işletim sistemine ait bir gizlilik kararı. iOS, bir uygulamanın yerel ağdaki adreslere trafik gönderip gönderemeyeceğine karar verir ve kullanıcıya uygulamanın ilk denemesinde sorar. İkinci kapı yönlendirme tablosudur. 192.168.1.50 adresine giden bir paket ya Wi-Fi üzerinden yazıcıya doğru çıkar ya da tünele girer ve bu seçim VPN profilinde yazılıdır.
İki kapı farklı biçimlerde bozulur ve tanıyı mümkün kılan tam olarak budur. Reddedilen izin uygulamanın kendi soket çağrısını öldürür, böylece uygulamanın bildirecek bir şeyi yoktur ve genel bir boş duruma düşer. Yönlendirme sorunu zaman aşımı gibi görünür, çünkü paketler telefondan çıkmış ve karşı tarafta bir yerde ölmüştür. Aynı boş ekran, farklı onarım.
VPN'e dokunmadan önce izin durumunu okuyun
Ayarlar'ı, ardından Gizlilik ve Güvenlik'i, ardından Yerel Ağ'ı açın. Erişim isteyen her uygulama orada bir anahtarla görünür. Apple bu ekranın parçalarını iOS 14 ile iOS 18 arasında taşıdı ve yeniden adlandırdı, bu yüzden giriş beklediğiniz yerde değilse ağacı karıştırmak yerine Ayarlar arama alanına Yerel Ağ yazın.
İnsanları en çok yakalayan şey tek seferlik istem. iOS, bir uygulama yerel ağa ilk kez dokunduğunda sorar ve yalnızca o zaman. İzin Verme'ye dokunun, istem sonraki açılışta geri gelmez; anahtar tek geri dönüş yoludur ve başlangıçta kapalıdır. Uygulamayı yeniden yüklemek kararı sıfırlar, bu yüzden bazı sorun giderme başlıkları yeniden yüklemenin keşfi düzelttiğini iddia eder. Düzeltti, reddi silerek.
Gözetimli veya yönetilen bir iPhone'da anahtar bazen gri olur. MDM tarafından gönderilen bir gizlilik tercihleri yükü yerel ağ erişimini önceden ayarlayabilir veya kilitleyebilir ve kilitli bir anahtar kapalıysa onarım telefon değişikliği değil politika değişikliğidir. Apple istemi ve uygulama başına anahtarı burada belgeliyor: support.apple.com/en-us/102229.
Tünelin gerçekte neyi yönlendirdiğini kontrol edin
Tam tünel 0.0.0.0/0'yı ve onunla birlikte her özel aralığı alır. 10.x, 172.16.0.0/12 ve 192.168.x.x için paketler sunucuya gider; sunucu bunları genellikle düşürür veya kendi alt ağına çevirir, böylece izin verdikten sonra bile yazıcıya ulaşılamaz. Bölünmüş tünel bunun tersini yapar, ama yalnızca profilin listelediği aralıklar için.
Apple Configurator ile oluşturulan veya .mobileconfig olarak dağıtılan IKEv2 profilleri bunu tüm trafiği gönder ayarı artı bölünmüş modda hariç tutulacak yerel ağların açık bir listesi olarak ifade eder. NEPacketTunnelProvider üzerine kurulu istemci uygulamaları aynı kararı includedRoutes ile ifade eder. İkisi de durum çubuğundan görünmez, ve ikisi de uygulamanın görmeyi beklediğini geçersiz kılar.
Kullandığım test şu. VPN bağlıyken Safari'de yönlendiricinin yönetim sayfasını LAN adresinden açın. Genel siteler yüklenirken o sayfa zaman aşımına düşüyorsa özel aralığınız tünelin içindedir. Sayfa yükleniyorsa yerel trafik hâlâ Wi-Fi üzerinden çıkıyor ve engel başka bir yerdedir.
Belirtiyi kapıya eşleyin
Aynı telefondaki iki uygulama anlaşamayabilir, çünkü izin uygulama başına verilirken yollar profil başına verilir. Bir şeyi değiştirmeden önce neyin bozulduğunu karşılaştırın: desen genellikle kapıyı kendi adlandırır.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
mDNS satırı bir notu hak ediyor. Bonjour ve çoğu yayın protokolü için keşif trafiği 224.0.0.251 ve ff02::fb adreslerine bağlantı yerel kapsamıyla multicast olarak gider ve yönlendirilen bir tünel bunu taşımaz. Bu yüzden bir cihaz doğrudan bağlantıya yanıt verebilirken hiçbir listede görünmez.
Simgeyi değil işlemi test edin
Yerel Ağ anahtarını çevirdikten sonra uygulamayı uygulama değiştiriciden zorla kapatın ve yeniden başlatın. Çalışan bir süreç değişiklik öncesindeki reddedilmiş durumu tutabilir ve boş liste döndürmeye devam eden bir uygulama, izin işe yaramış olsa da olmasa da aynı görünür. Ardından cihaz listesinin dolmasını beklemek yerine tek bir somut eylem yapın, örneğin bir test sayfası yazdırın veya bir video başlatın.
Karşılaştırma boyunca VPN profilini sabit tutun. Keşif ancak bağlantıyı kestikten sonra çalışmaya başlıyorsa, suçun izinde değil tünelde olduğunu öğrendiniz. Her denemede tek bir değişken değiştirin, yoksa sonraki tur size bir şey söylemez.
Bu sırayla düzeltin
Aşağıdaki sıra artık izlediğim sıra, çünkü telefonu hiçbir zaman sonraki testin okunamaz olduğu yarı değişmiş bir durumda bırakmıyor.
- Uygulamanın Gizlilik ve Güvenlik, Yerel Ağ altında listelendiğini ve anahtarının açık olduğunu doğrulayın.
- Uygulamayı zorla kapatıp yeniden başlatın ve gerçek işlemi bir kez yineleyin.
- Bağlıyken yönlendirici sayfasını LAN adresinden açın ve özel aralığın tünelden geçip geçmediğini kanıtlayın.
- Geçiyorsa profili yerel ağları hariç tutacak şekilde düzenleyin veya profilin sahibinden bunu yapmasını isteyin.
- Anahtar grisiyse cihazı yönetilen olarak ele alın ve isteği yöneticiye iletin.
Genellikle yalnızca biri geçerlidir. Hiçbiri sonucu değiştirmiyorsa kalan şüpheliler ağın kendisidir, örneğin erişim noktası yalıtımı veya Wi-Fi adreslerine bağlı bir istemci izin listesi ve yukarıdaki eşleme tablosu hangisi olduğunu gösterir.