iPhone ilovasi VPN yoqilganda mahalliy qurilmalarni topmaydi
Ikki darvoza iPhone ilovasi VPN orqali printer yoki televizorga yeta oladimi-yo‘qmi hal qiladi: Mahalliy tarmoq ruxsati va tunnelning o‘z marshrutlari. Ularni tartib bilan tekshiring.
Printer ilovangiz bo‘sh ro‘yxat ko‘rsatadi, kamera ilovasi qurilma topilmaganini bildiradi, video ilovadagi translatsiya tugmasi esa taslim bo‘lguncha aylanadi. Holat panelida VPN belgisi turadi, telefonda signal to‘liq, Safari sahifalarni muammosiz yuklaydi, shuning uchun ulanishda buzilgan hech narsa ko‘rinmaydi. Keyin ilovaning o‘z sozlamalarini ochasiz va almashtiradigan hech narsa topmaysiz.
Uy tarmog‘idagi yorliq printeri bilan aynan shu devorga urildim: ilovaga hech qachon mahalliy tarmoqqa kirish ruxsati berilmagan, men sinab ko‘rgan profil esa 192.168.1.0/24 manziliga yuborilgan har bir paketni yutib yuboradigan to‘liq tunnel edi. Ikki mustaqil darvoza yopiq edi va birini ochish simptomni yo‘q qilmasdi.
Bitta ilova va bitta printer o‘rtasidagi ikki darvoza
Birinchi darvoza — ilovaga emas, operatsion tizimga tegishli maxfiylik qarori. iOS ilova mahalliy tarmoqdagi manzillarga trafik yubora oladimi-yo‘qmi hal qiladi va foydalanuvchidan ilova birinchi marta urinib ko‘rganda so‘raydi. Ikkinchi darvoza — marshrutlash jadvali. 192.168.1.50 manziliga yo‘naltirilgan paket yo Wi-Fi orqali printerga qarab chiqadi, yo tunnelga kiradi va bu tanlov VPN profilida yozilgan.
Ikki darvoza turli shakllarda ishdan chiqadi va aynan shu tashxis qo‘yishga imkon beradi. Rad etilgan ruxsat ilovaning o‘z socket chaqiruvini o‘ldiradi, shuning uchun ilovaning xabar beradigan hech narsasi qolmaydi va umumiy bo‘sh holatga tushadi. Marshrutlash muammosi taymautga o‘xshaydi, chunki paketlar telefondan chiqib, narigi tomonda qayerdadir o‘ldi. Xuddi shu bo‘sh ekran, boshqa tuzatish.
VPNga tegmasdan oldin ruxsat holatini o‘qing
Sozlamalarni, so‘ng Maxfiylik va xavfsizlikni, so‘ng Mahalliy tarmoqni oching. Kirish so‘ragan har bir ilova o‘sha yerda o‘chirgich bilan ko‘rinadi. Apple bu ekranning qismlarini iOS 14 va iOS 18 orasida ko‘chirgan va nomini o‘zgartirgan, shuning uchun yozuv kutgan joyda bo‘lmasa, daraxtni titkilash o‘rniga sozlamalarning qidiruv maydoniga Mahalliy tarmoq deb yozing.
Odamlarni ko‘proq bir martalik so‘rov ushlaydi. iOS ilova mahalliy tarmoqqa birinchi marta tegganda so‘raydi va faqat o‘shanda. Ruxsat bermaslik tugmasini bosing va so‘rov keyingi ochilishda qaytmaydi; o‘chirgich — qaytishning yagona yo‘li va u boshida o‘chirilgan. Ilovani qayta o‘rnatish qarorni tiklaydi, shuning uchun ba‘zi nosozliklarni bartaraf etish mavzulari qayta o‘rnatish aniqlashni tuzatdi deb da’vo qiladi. Tuzatdi ham, rad etishni o‘chirib.
Nazorat qilinadigan yoki boshqariladigan iPhone’da o‘chirgich ba’zan kulrang bo‘ladi. MDM yuborgan maxfiylik sozlamalari yuklamasi mahalliy tarmoqqa kirishni oldindan belgilashi yoki bloklashi mumkin, bloklangan o‘chiq o‘chirgich esa tuzatish telefon o‘zgarishi emas, siyosat o‘zgarishi ekanini bildiradi. Apple so‘rov va har bir ilova bo‘yicha o‘chirgichni shu yerda hujjatlashtiradi: support.apple.com/en-us/102229.
Tunnel aslida nimani marshrutlashini tekshiring
To‘liq tunnel 0.0.0.0/0 manzilini va u bilan birga har bir xususiy diapazonni oladi. 10.x, 172.16.0.0/12 va 192.168.x.x uchun paketlar serverga boradi, u ularni odatda tashlab yuboradi yoki o‘z ichki tarmog‘iga o‘giradi, shuning uchun printer ruxsat berganingizdan keyin ham yetib bo‘lmaydigan bo‘lib qoladi. Bo‘lingan tunnel buning aksini qiladi, lekin faqat profil sanab o‘tgan diapazonlar uchun.
Apple Configurator bilan qurilgan yoki .mobileconfig sifatida tarqatilgan IKEv2 profillari buni butun trafikni yuborish sozlamasi va bo‘lingan rejimda chiqarib tashlanadigan mahalliy tarmoqlarning aniq ro‘yxati sifatida ifodalaydi. NEPacketTunnelProvider asosidagi mijoz ilovalari o‘sha qarorni includedRoutes orqali ifodalaydi. Ikkalasi ham holat panelidan ko‘rinmaydi, va ikkalasi ham ilova kutgan narsani ustidan yozadi.
Bu men ishlatadigan sinov. VPN ulangan holatda Safari’da routerning boshqaruv sahifasini uning LAN manzili bilan oching. Agar ommaviy saytlar yuklanib, bu sahifa taymautga tushsa, xususiy diapazoningiz tunnel ichida. Agar sahifa yuklansa, mahalliy trafik hali ham Wi-Fi orqali chiqadi va to‘siq boshqa joyda.
Simptomni darvozaga moslang
Bitta telefondagi ikki ilova kelisha olmasligi mumkin, chunki ruxsat ilovaga, marshrutlar esa profilga beriladi. Biror narsani o‘zgartirishdan oldin nima ishlamayotganini taqqoslang: odatda naqsh darvozani o‘zi nomlaydi.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
mDNS qatori eslatmaga loyiq. Bonjour va aksariyat translyatsiya protokollari uchun aniqlash trafigi 224.0.0.251 va ff02::fb manzillariga mahalliy bo‘g‘in qamrovida multicast bo‘lib ketadi va marshrutlangan tunnel uni tashimaydi. Shuning uchun qurilma to‘g‘ridan-to‘g‘ri ulanishga javob bera oladi, lekin ro‘yxatda hech qachon ko‘rinmaydi.
Amalni sinang, belgini emas
Mahalliy tarmoq o‘chirgichini almashtirganingizdan keyin ilovani ilovalar almashtirgichidan majburan yoping va qayta ishga tushiring. Ishlab turgan jarayon o‘zgarishdan oldingi rad etilgan holatni ushlab turishi mumkin, bo‘sh ro‘yxat qaytaraveradigan ilova esa ruxsat ishlagan yoki ishlamaganidan qat’i nazar bir xil ko‘rinadi. So‘ng qurilmalar ro‘yxati to‘lishini kutish o‘rniga bitta aniq amalni bajaring, masalan sinov sahifasini chop eting yoki video ishga tushiring.
Taqqoslash davomida VPN profilini o‘zgartirmasdan saqlang. Agar aniqlash faqat ulanishni uzganingizdan keyin ishlay boshlasa, ayb ruxsatda emas, tunnelda ekanini bilib oldingiz. Har urinishda bitta o‘zgaruvchini o‘zgartiring, aks holda keyingi yurgizish sizga hech narsa demaydi.
Shu tartibda tuzating
Quyidagi ketma-ketlik — hozir amal qiladigan ketma-ketlik, chunki u telefonni keyingi sinov o‘qilmaydigan yarim o‘zgartirilgan holatda qoldirmaydi.
- Ilova Maxfiylik va xavfsizlik, Mahalliy tarmoq bo‘limida ro‘yxatga olinganini va o‘chirgichi yoniq ekanini tasdiqlang.
- Majburan yoping, ilovani qayta oching va haqiqiy amalni bir marta takrorlang.
- Ulangan holatda router sahifasini LAN manzili bilan ochib, xususiy diapazon tunnelda ekanini isbotlang.
- Agar tunnelda bo‘lsa, profilni mahalliy tarmoqlarni chiqarib tashlaydigan qilib tahrirlang yoki profil egasidan shuni so‘rang.
- Agar o‘chirgich kulrang bo‘lsa, qurilmani boshqariladigan deb qabul qiling va so‘rovni administratorga yo‘naltiring.
Odatda faqat bittasi qo‘llanadi. Agar hech biri natijani o‘zgartirmasa, qolgan gumondorlar — tarmoqning o‘zi, masalan kirish nuqtasining izolyatsiyasi yoki Wi-Fi manzillariga bog‘langan ruxsat etilgan mijozlar ro‘yxati, yuqoridagi moslik jadvali qaysi biri ekanini ko‘rsatadi.