Apple VPN On Demand domen qoidalari tunnelni qanday ishga tushiradi

Siz bitta ichki nomni so’raganingizda tunnel ochiladi va keyingi ilova ham xuddi shunchalik muhtoj bo’lganda yopiq qoladi. Bu ilovadagi xato emas; bu domen qoidasining shakli. Apple’ning on-demand konfiguratsiyasi ulanish o’rnatish shartlarini tavsiflaydi va bu shartlarning domen shakli bitta paket ham harakatlanishidan oldin tizim rezolveriga savol beradi. Ikki savol doim aralashib ketadi: tunnel qachon ko’tarilishi kerak va tunnel mavjud bo’lganda nima tashiydi. Birinchisi trigger, ikkinchisi marshrut va rezolver siyosati, va bitta profil odatda ikkalasini ham bir xil payloadda o’rnatadi, shuning uchun to’g’ri domen qoidasi ham sizni noto’g’ri tarmoqda qoldirishi mumkin.

Trigger va trafik tanlovi turli qatlamlarda

On-demand qoidasi VPN payload’ining on-demand lug’atida yashaydi: tartiblangan qoidalar ro’yxati, har birida amal va moslik shartlari to’plami. Tizim ularni ulanish o’zgarganda yoki biror narsa tarmoqqa yetib borishga urinib ko’rganda baholaydi, amal esa tunnel ko’tarilishini, baholanishini, uzilishini yoki e’tiborsiz qoldirilishini hal qiladi. Bularning barchasi platformaning tarmoq qatlamida, ilovangiz socket olgunga qadar sodir bo’ladi.

Keyingi narsa alohida kalitlar guruhi: tunnelning IPv4 va IPv6 sozlamalari, uning kiritilgan va chiqarib tashlangan marshrutlari, DNS server manzillari, va iOS hamda iPadOS’da qaysi ilovalar tunneldan foydalanishi mumkinligini belgilovchi ilova bo’yicha xaritalash. Profil keng triggerni tor marshrut bilan yoki tor triggerni standart marshrut bilan bog’lashi mumkin. Faqat yarmini o’qing, ikkinchi yarmi nosozlikdek ko’rinadi.

Menda ichki domen ostida biror narsa so’ralganda ulanadigan, lekin tunnelga faqat bitta /16 yo’naltiradigan laboratoriya profili bor. U o’z payloadida yozilganini aynan bajaradi va bu ticketlar keltiradigan profil turi hamdir: odamlar ulangan tunnel ularning trafigi ichida degani deb o’ylashadi.

Domen qoidasi rezolverdan aslida nima so’raydi

Ko’pincha connect-if-needed deb ataladigan qoidaning domen shakli paket payloadini tekshirmaydi va URL’larni kuzatmaydi. Nom hal qilinganda, tizim uni qoidadagi domenlar bilan solishtiradi va mos kelsa, bu nomni tunnel taqdim etgan DNS serverlar orqali hal qilish mumkinmi deb so’raydi. Tunnel rezolveri javob bersa, nom ichki deb hisoblanadi va ulanish boshlanadi. Buning o’rniga mahalliy rezolver javob bersa, nom tashqi deb qaraladi va tunnel ko’rinmaydi. Apple’ning joylashtirish sharhi buni tarmoqni aniqlash va undan keyin ulanishni baholash deb tavsiflaydi.

Bundan ikki natija kelib chiqadi. Profil tunnel ichidagi DNS serverlarni nomlashi kerak; tunnel rezolverisiz domen qoidasining solishtiradigan hech narsasi yo’q, shuning uchun baholash siz kutgan moslikni bera olmaydi. Va qidiruv tizim rezolveriga yetib borishi kerak. O’zining shifrlangan DNS’ini ishga tushirgan ilova yoki brauzer, mahalliy javob beradigan kengaytma yoki so’zma-so’z manzilga ulanish qoida kutgan nom hal qilinishini hech qachon yaratmaydi. Men o’tkazgan eng uzoq tushdan keyinlardan biri tunnel oldidagi mijoz DNS over HTTPS ishlatayotganini bilganimda tugadi.

Keshlash ham triggerni olib tashlaydi. Keshda allaqachon mavjud nomga tunnelni ishga tushirgan tekshiruvsiz javob berilishi mumkin, shuning uchun kecha ishlagan qoida qayta yuklashdan keyin yoki tunnel bir oz vaqt yuqorida turgandan keyin muvaffaqiyatsiz bo’ladi. macOS’da sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder holatni tiklaydi; iOS’da samolyot rejimini yoqib-o’chirish yoki qurilmani qayta yuklash taqqoslanadigan toza boshlanish beradi.

Moslik doirasi: nomlar, ilovalar va tarmoqlar

Domen mosligi bir necha turdan biri. Qoida interfeys turiga (Wi-Fi, uyali, Ethernet) va ma’lum SSID’ga ham mos kelishi mumkin, ilova yoki Safari domeni bo’yicha yozuvlar tunnelni bitta ish oqimiga bog’laydi. Bu bog’lanish faqat bitta ilova boshqalardan boshqacha yo’l tutadigan g’alati tajribani tushuntiradi: boshqa ilovalar tunnel doirasidan tashqarida, shuning uchun tunnel belgisi ulangan deb tursa ham ular mahalliy yo’ldan foydalanishda davom etadi.

Tartib odamlar kutganidan ham muhimroq. Qoidalar ketma-ket baholanadi va birinchi mos kelgani amalni beradi, shuning uchun tor domen qoidasi ustiga qo’yilgan keng har-qanday-Wi-Fi-ga-ulanish qoidasi jimgina yutadi va domen qoidasini tekshirib bo’lmaydigan qiladi. Domenlar ro’yxatini qayta yozishdan oldin avvalgi hech bir qoida mos kelmaganiga ishonch hosil qiling.

Shuning uchun always-on shunchaki qattiqroq on-demand qoida emas. Always-on’ni qo’llash alohida joylashtirish rejimi bo’lib, uning o’z nazorat va boshqaruv talablari bor; u nomga javob berish o’rniga tunnelni ochiq ushlab turadi. Agar sizga hech qachon yiqilmaydigan tunnel kerak bo’lsa, domen qoidasi noto’g’ri asbob.

Buzilgan qoidaga o’xshash nosozliklar

Domen qoidasi ishlamayotgani haqidagi xabarlarning ko’pchiligi besh joydan biriga tushadi va ulardan faqat oxirgisi qoida matnidir.

Captive portallar o’z satriga loyiq, chunki mehmonxona va aeroport Wi-Fi qoida bog’liq bo’lgan qidiruvni aynan ushlab qoladi. Portal qurilmani ichkariga qo’yib yubormaguncha tunnelning DNS serveriga yetib bo’lmaydi, tekshiruv muvaffaqiyatsiz bo’ladi va nosozlik noto’g’ri yozilgan domen kabi ko’rinadi. Autentifikatsiya boshqa jim holat: qoida ishga tushishi mumkin, tunnel ulanishni boshlashi mumkin va ulanish muddati o’tgan sertifikatda yoki boshqa ekranda chiqqan so’rovda o’ladi.

IPv6 noto’g’ri tashxis qo’yish oson variantni yaratadi. Ikkala manzil oilasiga ega nomga avval AAAA yozuvidan javob berilishi mumkin, tunnelning marshrutlar ro’yxati esa faqat IPv4 tashiydi. Bitta brauzer muvaffaqiyat qozonadi, boshqasi muvaffaqiyatsiz bo’ladi va domenlar ro’yxati butunlay begunoh.

Haqiqiy so’rov bilan, shu tartibda sinab ko’ring

Taxmin qilishdan oldin siyosatni o’qing. macOS’da sudo profiles show -type configuration VPN payload’ini qo’shib o’rnatilgan profillarni chiqaradi, scutil --nc list xizmat holatini ko’rsatadi va scutil --nc show <service> tizim ishlatadigan on-demand lug’atini chiqaradi. Boshqariladigan iPhone yoki iPad’da xuddi shu payload boshqaruv konsolidan yoki MDM hisobotidan keladi. Tarmoq jurnallari macOS’da log stream --predicate 'subsystem == "com.apple.networkextension"' bilan, telefon ulanganda esa qurilma konsoli orqali mavjud.

Keyin ushbu sessiyada avval so’ralmagan xost nomi bilan sinab ko’ring. Tunnelning DNS zonasida ichkarida hal qilinishini bilgan nomni tanlang, bir marta so’rang va tunnel paydo bo’lishini kuzating. Xuddi shu qidiruvni ikki marta bajaring: ikkinchi urinish kesh yo’lini mashq qiladi va ikkisi orasidagi farq trigger hal qilishmi yoki marshrutlashmi ekanini aytadi.

Tunnel ko’tarilgandan keyin ikki qatlamni alohida tekshiring. netstat -rn -f inet va netstat -rn -f inet6 har bir prefiks qayerga ishora qilishini ko’rsatadi, scutil --dns rezolverlar tartibini va qaysi interfeys qaysi rezolverga egaligini ko’rsatadi, nettop -m route esa qaysi interfeys baytlarni tashiganini ko’rsatadi. Tunnel yuqorida bo’lsa va rezolver to’g’ri bo’lsa, lekin resurs hali ham ishlamasa, qoidani tahrirlashni to’xtating; server tomonidagi avtorizatsiya va qaytish marshrutini tekshiring.

Qoida boshqa birovga tegishli bo’lganda

Agar ulanishni uzgandan keyin tunnel yana paydo bo’lsa, qoida odatda ilovaga emas, profilga tegishli: MDM orqali yuborilgan konfiguratsiya, qolgan shaxsiy profil yoki boshqa klient o’rnatgan profil. sudo profiles show -type configuration va on-demand kalitlarini qidirish uni toraytiradi va olib tashlash yo’li profildir, menyu qatoridagi tugma emas. Xizmat yozuvini yoki ilovani o’chirish qoidani qoldiradi va keyingi o’rnatish uni yana meros oladi.

Bitta sinov egalikni hal qiladi: uzing, kuting, ichki nomni yana so’rang. Agar tunnel qaytsa, trigger loyihalangandek ishlayapti va ochiq savol uni kim boshqarishi va o’sha doira siz xohlagan narsami.

Buni xato sifatida qayd etishdan oldin o’sha besh tekshiruvdan o’ting: payloadda tunnel rezolveri manzillari bor, nom keshlanmagan, avvalgi hech bir qoida allaqachon mos kelmagan, marshrutlar ro’yxati AAAA yo’lini qamrab oladi va ilova tunnel doirasida. Beshovi ham to’g’ri bo’lsa, qoida o’z ishini qilmoqda va nosozlik yo’lda yana uzoqroqda.