iPhone'da alan adına göre VPN: reddin nerede gerçekleştiğine karar verin
NeverConnect VPN'in başlamasını engeller; bir web sitesini engellemez. Reddin hizmet sınırına mı yoksa yönetilen bir politikaya mı ait olduğuna karar verin.
İki gereksinim tek bir cümle olarak yazılır ve sonra tamamen farklı yerlerde uygulanır. «Bu siteye yalnızca VPN üzerinden erişilebilmelidir» kabulle ilgili bir ifadedir ve doğal evi hizmetin önündeki ağdır. «Bu iPhone o alan adıyla asla doğrudan iletişim kurmamalıdır» cihazla ilgili bir ifadedir ve bunu yalnızca yönetilen bir istemci politikası ifade edebilir. Bir profil düzenleyici açmadan önce hangisine gerçekten sahip olduğunuza karar verin.
Aynı kulağa gelen iki gereksinim
Örnek ana bilgisayarı records.corp.example ele alalım. Kabul durumunda onu yalnızca VPN'in arkasındaki adreslere yayınlarsınız, bu nedenle hücresel ağdaki bir telefondan doğrudan deneme ağda başarısız olur, aynı istek tünel üzerinden başarılı olur ve yine de gerçek bir hesap girişi gerektirir. Cihaz durumunda telefon genel internete ulaşabilir, bu nedenle ana bilgisayar herkes için çözümlenir ve yanıt verir, denemeyi durdurabileceğiniz tek yer cihazdır. Hizmet, kendisine asla ulaşmayan bir istek için kural uygulayamaz.
Gereksinimin yanlış okunması belirli bir dağıtım olarak ortaya çıkar. Kayıt hâlâ herkese açıktır, operatör VPN'in zorunlu olduğuna inanır ve hücresel bir denemenin denetimi isteğin tünele hiç girmediğini gösterir. Hiçbir şey engellenmediği için günlüklerde hiçbir şey bozuk görünmez.
Değerlendirme eylemlerini harfiyen okuyun
İsteğe bağlı mekanizmanın iki ayrı eylem katmanı vardır ve bunları karıştırmak buradaki karışıklığın çoğunu yaratır. Dış kural eylemi, kural eşleştiğinde tünele ne olacağına karar verir; bağlantı değerlendirme eylemi ise bir değerlendirme kuralı içindeki ana bilgisayar adı eşleşmesine ne olacağına karar verir. Apple'ın Never Connect referansı yalnızca ikinci katmanı açıklar.
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect en sık yanlış okunan değerdir, çünkü adı bir engelleme çağrıştırır. Eşleşen ana bilgisayar adı için tünelin başlatılmasını yönetir, telefonun bir ada ulaşma iznini değil, bu nedenle bir Never Connect girdisi alan adı engellemesi değildir. Bir tasarım belgesinde buna böyle demek, dağıtımın sahip olmadığı bir uygulama sınırıyla onaylanmasının yoludur.
Hizmet sizinse sınırda uygulayın
Kabulü kısıtlamak, adı yalnızca VPN yolunun ulaşabileceği yerde yayınlamak ve ardından amaçlanan yolun çalıştığını, başka bir yolun çalışmadığını test etmek demektir. Yayınlanan her kaydı, yayınlıyorsanız her iki adres ailesini ve uygulamanın kullandığı her ara veya alternatif adı kapsayın. Hâlâ genel bir yük dengeleyiciye işaret eden eski bir CNAME, ana kayıt ne kadar düzenli olursa olsun doğrudan yolu canlı tutar.
Bu, cihazı değil hizmeti korur. Telefonun DNS sorgusu göndermesini engellemez ve uygulamanın denemesini engellemez. Bu denemeler kabul edilebilirse, sınırda uygulama daha ucuz ve daha dayanıklı seçimdir, çünkü yalnızca yapılandırdığınız istemciler için değil her istemci için geçerlidir. Hiç kaydedilmemiş bir telefonda da ayakta kalır.
Telefon denememeliyse yönetilen bir politikaya ihtiyacınız var
Denemeyi durdurmak, bağlantıdan önce, tünel arızası sırasında ve ağ değişikliğinden sonra uygulamayı veya hedefleri kapsayan desteklenen bir uygulama politikası gerektirir. VPN veya cihaz yönetimi sağlayıcısından bu politikayı adlandırmasını, kurumsal yönetim gerektirip gerektirmediğini söylemesini ve başka neleri etkilediğini açıklamasını isteyin. Uygulama başına tünel artı isteğe bağlı kural aynı şey değildir ve ana ekrandan bir bağlantıya kısayol da değildir.
Tüneli devre dışı bırakıp isteğin dışarı çıkıp çıkmadığını gözlemleyerek arıza durumunu test edin. Çıkıyorsa, belgelediğiniz sınır dağıttığınız sınır değildir.
Üç soruyla karar verin
Birincisi, hizmeti mi yoksa yalnızca telefonu mu kontrol ediyorsunuz? İkincisi, cihaz diğer her şey için genel interneti yasal olarak kullanabilir mi? Üçüncüsü, telefon yönetiliyor mu ve kim tarafından? Hizmete sahip olmak artı yönetilen bir filo, her iki katmanın da mevcut olduğu anlamına gelir; yalnızca telefona sahip olmak ise istemci politikasını tek seçenek yapar ve bu desteklenmelidir.
Bir profile dokunmadan önce bu üçüne yanıt verin. O zaman yapılandırma, Never adlı bir onay kutusunun ne anlama geldiğine dair bir tahmin olmaktan çıkar.