Yönetilen iPhone uygulamalarında uygulama başına VPN: ne yönlendirilir, ne yönlendirilmez
Uygulama başına tünel, yönetilen uygulamayı izler, telefonu değil. Yük ilişkisini, yönetilen kopyayı, istek üzerine kuralları ve uygulamadan çıkan akışları denetleyin.
iPhone'da uygulama başına VPN tüm telefonun anahtarı değildir. Bir yönetilen uygulama ile bir VPN yükü arasında, uygulama dağıtılırken oluşan bir ilişkidir ve diğer her şeyin trafiği önceki rotasını korur. Bu yüzden aynı telefon tutarsız davranır: iş uygulaması özel bir sayfa açar ama Safari aynı ana bilgisayara ulaşamaz, ya da tünel hiç yükselmez ve uygulama yanlış kimlik bilgisi gibi görünen bir zaman aşımı bildirir. Denetimler en geniş nedenden aşağı iner, bu yüzden ilk başarısız olanda durun.
Önce yükü ve uygulama kaydını denetleyin
İlişki iki nesnede yaşar, birinde değil. VPN yükü tüneli tanımlar: tür, sunucu, kimlik doğrulama, DNS ve özel istemci kullanıldığında sağlayıcının paket tanımlayıcısı. Uygulama kaydı o yüke işaret eder ve çoğu yönetim konsolu bunu uygulama yapılandırmasında Per-App VPN'e yakın bir adla uygulama başına seçenek olarak sunar. Hiçbir uygulamanın işaret etmediği bir yük uygulama başına hiçbir şey yönlendirmez; birinin elle başlatması gereken sıradan bir tünel gibi davranır.
Telefona dokunmadan önce iki nesneyi de okuyun. Uygulama yapılandırmasının test ettiğiniz yüke işaret ettiğini, eski bir kopyasına değil, doğrulayın; çünkü geçişten sonra neredeyse aynı adlı çift yükler yaygındır ve uygulama seve seve geri çekilene işaret eder. Sonra yapılandırmanın cihaza ulaştığını doğrulayın: Ayarlar, Genel, VPN ve Aygıt Yönetimi onu yüklü profil olarak göstermelidir. Oradaki VPN listesi test değildir. Uygulama başına hizmetin genellikle elle anahtarı yoktur, bu yüzden doğru dağıtılmış bir yapılandırma başlatılabilir VPN'ler arasında hiç görünmeyebilir. Yokluk uygulama kaydında ve tünelin uygulamanın ilk isteğinde yükselip yükselmediğinde görülür.
Tek bir koşul birçok kaydı açıklar: bu model uygulamanın yönetim üzerinden gelmesini gerektirir. Yan taraftan yüklenen veya kişisel satın alınan kopya, paket tanımlayıcısı eşleşse bile ilişkiyi almaz. Apple'ın VPN dağıtım kılavuzu bunun arkasındaki yük modelini açıklar (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).
Yüklü uygulamanın yönetilen kopya olduğunu doğrulayın
İlişki yüklü, yönetilen uygulamayı izler. Biri onu kişisel Apple ID ile App Store'dan yeniden yüklediyse, yeniden imzalanmış kurumsal derlemeyle değiştirdiyse veya cihaz yeniden kaydedildiyse ve uygulama başka bir kanaldan geri geldiyse, uygulama tamamen normal görünürken tünel aşağıda kalabilir.
Tek gözlemle değil, karşılaştırmayla test edin. Yönetim envanterinde uygulama o cihaz için yönetilen olarak, kaydında VPN eşlemesiyle görünmelidir. Telefonda tünel uygulama başlatıldığında ve ilk isteği çıktığında yükselmelidir, yalnızca biri Ayarlar'da ayrı bir elle yapılandırma başlattığında değil. Uygulamayı başlatmak hiçbir şeyi değiştirmiyorsa ve o elle yapılandırma değiştiriyorsa, uygulama uygulama başına tünele hiç bağlı değildir.
Güncellemeler önemlidir: yönetim üzerinden itilen eşlemeyi korur, kullanıcının başlattığı yeniden yükleme ise kaybedebilir. Şikayet bir güncellemeden tarihleniyorsa, ağdan önce uygulama kaydını denetleyin.
Tünelin ne alabileceğini denetleyin
Uygulama başına tünel kaynak uygulamaya göre seçilir, bu yüzden telefonun varsayılan rotası hâlâ Wi-Fi veya hücresele aittir. OverridePrimary bunu değiştiren anahtardır. Profil onu ayarladığında tünel tam tünel gibi davranır ve her uygulama onu miras alır, böylece VPN'den geçen her şey uygulama arızası değil profil sorunu olur.
İstek üzerine kurallar sürekliliği belirler. OnDemandEnabled ve kural kümesi tüneli uygulama trafik gönderdiğinde geri getirir, Wi-Fi'den hücresele geçişi atlatır veya uygulama arka plana geçtiğinde düşürür. Bağlanıp sonra sessizce ölen bir dağıtım genellikle yalnızca uygulama boştayken hiç tetiklenmeyen bir sondaya uyan kurala sahiptir.
Sonra rota tarafını dürüstçe okuyun. Sağlayıcı veya satıcı profili bir dahil etme listesi veriyorsa, yalnızca 10.20.0.0/16 taşıyan tünel 10.30.0.0/16'da hizmet taşımaz; bu liste işini yapıyor, uygulama başına arıza değil. Yerleşik iOS yükünün dahil etme listesi yoktur. O olmadan bölme sağlayıcı varsayılanlarını ve IncludeAllNetworks'ü izler, gizli bir listeyi değil.
Uygulamayı test edin, sonra ondan çıkanı test edin
Yalnızca adresle değil, adla test edin. Yönetilen uygulama içinde iç ana bilgisayarı çözmek DNS'in de tünelden geçtiğini kanıtlar, çünkü yük hangi çözümleyicinin yanıtlayacağını ve hangi arama alan adlarının geçerli olacağını belirler. Ad araması başarısız olurken yönlendirme kusursuz olabilir ve iki belirti farklı ayarlara işaret eder.
Sonra sınırı iki taraftan test edin. Kişisel bir uygulama veya Safari normal bir genel sayfaya ulaşıp operatörün veya evin adresini bildirmelidir, yönetilen uygulama ise özel hizmete ulaşır. İkisi de aynı genel adresi bildiriyorsa, uygulama kaydı ne derse desin tünel artık uygulama başına değildir.
Uygulamadan çıkan akışlar kafa karıştıran kayıtlar üretir. Safari'de açılan bir bağlantı, paylaşım sayfasıyla iletilen bir belge veya tarayıcıya geçen bir SSO oturumu uygulamanın sürecini ve onunla birlikte tüneli terk eder. Uygulama içinde gösterilen oturum açma genellikle uygulamaya atfedilir, bu yüzden gömülü oturum açma aynı URL'nin Safari'de başarısız olduğu yerde başarılı olabilir; bunu varsaymak yerine doğrulayın. Kimlik sağlayıcısına yalnızca tünelden ulaşılabiliyorsa, oturum açmayı uygulama içinde tutun veya sağlayıcının alan adını yükün Safari alan adlarına ekleyin, böylece eşleşen Safari trafiği yakalanır.
Belirtiyi katmanla eşleştirin
Arızanın biçimi hangi denetimin yineleneceğini söyler.
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
Orta satırların arkasında iki ayrıntı var: uygulama başına tünel sağlıklı olup yine de hiçbir sağlayıcı listesinde olmayan bir alt ağı atlayabilir ve yönetilen telefon birden fazla VPN yapılandırması tutabilir, bu yüzden okuduğunuzun o olduğunu varsaymak yerine uygulamanın hangisine bağlı olduğunu doğrulayın.
Şu sırayla düzeltin: uygulama kaydını etkin yüke yönlendirin, uygulamayı yönetim üzerinden yeniden yükleyin, tünelin uygulamanın ilk isteğinde yükseldiğini doğrulayın, sonra ad ve sınır testlerini yineleyin. İlk istek tüneli hiç başlatamıyorsa durun ve sağlayıcı tarafını denetleyin, çünkü özel istemci yüklü uygulamayla eşleşen bir tanımlayıcı ve mevcut Network Extension gerektirir.
Ekran görüntüsü yerine üç olgu döndürün: uygulama kaydı hangi yüke işaret ediyor, Ayarlar onu yüklü profil olarak gösteriyor mu ve başarısız istek neydi — bir ad, adres veya tarayıcıya aktarım. Bu üç yanıt dağıtım hatasını yönlendirme hatasından ayırır ve sonraki kişi tanıyı yinelemeden işlem yapabilir.