VPN theo ứng dụng trên các ứng dụng iPhone được quản lý: cái gì được định tuyến và cái gì không
Đường hầm theo ứng dụng đi theo ứng dụng được quản lý, không phải điện thoại. Kiểm tra liên kết tải trọng, bản sao được quản lý, quy tắc theo yêu cầu và các luồng rời khỏi ứng dụng.
VPN theo ứng dụng trên iPhone không phải công tắc của toàn bộ điện thoại. Đó là liên kết giữa một ứng dụng được quản lý và một tải trọng VPN, được tạo khi ứng dụng được triển khai, và lưu lượng của mọi thứ khác giữ nguyên tuyến đường cũ. Vì vậy cùng một điện thoại hành xử không nhất quán: ứng dụng công việc mở trang riêng trong khi Safari không đến được cùng máy chủ, hoặc đường hầm không hề dựng lên và ứng dụng báo hết thời gian trông như thông tin đăng nhập sai. Các kiểm tra đi từ nguyên nhân rộng nhất xuống, nên dừng ở lần đầu thất bại.
Kiểm tra tải trọng và bản ghi ứng dụng trước
Liên kết sống trong hai đối tượng, không phải một. Tải trọng VPN xác định đường hầm: loại, máy chủ, xác thực, DNS và mã định danh gói của nhà cung cấp khi dùng ứng dụng khách tùy chỉnh. Bản ghi ứng dụng trỏ đến tải trọng đó, và hầu hết bảng điều khiển quản lý cung cấp tùy chọn theo ứng dụng này trong cấu hình ứng dụng, với tên gần Per-App VPN. Một tải trọng không ứng dụng nào trỏ đến sẽ không định tuyến gì theo ứng dụng; nó hành xử như đường hầm thường mà ai đó phải khởi động thủ công.
Đọc cả hai đối tượng trước khi chạm vào điện thoại. Xác nhận cấu hình ứng dụng trỏ đến tải trọng bạn đang kiểm tra chứ không phải bản sao cũ, vì tải trọng trùng tên gần giống rất phổ biến sau khi di chuyển và ứng dụng sẵn lòng trỏ đến bản đã thu hồi. Sau đó xác nhận cấu hình đã đến thiết bị: Cài đặt, Cài đặt chung, VPN và Quản lý thiết bị phải hiển thị nó như hồ sơ đã cài. Danh sách VPN ở đó không phải bài kiểm tra. Dịch vụ theo ứng dụng thường không có công tắc thủ công, nên cấu hình được triển khai đúng có thể không bao giờ xuất hiện trong các VPN có thể khởi động. Sự vắng mặt thấy ở bản ghi ứng dụng và ở việc đường hầm có dựng lên ở yêu cầu đầu tiên của ứng dụng không.
Một điều kiện giải thích nhiều phiếu: mô hình này yêu cầu ứng dụng đến qua quản lý. Bản sao cài bên ngoài hoặc mua riêng không nhận được liên kết, dù mã định danh gói khớp. Hướng dẫn triển khai VPN của Apple mô tả mô hình tải trọng đằng sau điều này (support.apple.com/guide/deployment/vpn-overview-depae3d361d0/web).
Xác nhận ứng dụng đã cài là bản sao được quản lý
Liên kết đi theo ứng dụng đã cài và được quản lý. Nếu ai đó cài lại từ App Store bằng Apple ID cá nhân, thay bằng bản dựng doanh nghiệp ký lại, hoặc thiết bị được đăng ký lại và ứng dụng quay lại qua kênh khác, đường hầm có thể vẫn ở dưới trong khi bản thân ứng dụng trông hoàn toàn bình thường.
Kiểm tra bằng so sánh, không bằng một quan sát. Trong kho quản lý, ứng dụng phải hiện là được quản lý cho thiết bị đó với ánh xạ VPN trong bản ghi. Trên điện thoại, đường hầm phải dựng lên khi ứng dụng khởi chạy và yêu cầu đầu tiên ra ngoài, không chỉ khi ai đó khởi động cấu hình thủ công riêng trong Cài đặt. Nếu khởi chạy ứng dụng không thay đổi gì mà cấu hình thủ công đó thay đổi, ứng dụng hoàn toàn không gắn với đường hầm theo ứng dụng.
Cập nhật quan trọng: bản được đẩy qua quản lý giữ ánh xạ, còn cài lại do người dùng khởi động có thể mất nó. Khi khiếu nại có ngày từ một bản cập nhật, hãy kiểm tra bản ghi ứng dụng trước mạng.
Kiểm tra đường hầm được phép lấy gì
Đường hầm theo ứng dụng được chọn theo ứng dụng nguồn, nên tuyến mặc định của điện thoại vẫn thuộc Wi-Fi hoặc mạng di động. OverridePrimary là khóa thay đổi điều đó. Khi hồ sơ đặt nó, đường hầm hành xử như đường hầm đầy đủ và mọi ứng dụng kế thừa nó, nên mọi thứ đi qua VPN trở thành câu hỏi hồ sơ chứ không phải lỗi ứng dụng.
Quy tắc theo yêu cầu quyết định độ bền. OnDemandEnabled và bộ quy tắc của nó đưa đường hầm trở lại khi ứng dụng gửi lưu lượng, chịu được chuyển từ Wi-Fi sang di động, hoặc hạ xuống khi ứng dụng vào nền. Một triển khai kết nối rồi chết im lặng thường có quy tắc chỉ khớp với một phép dò không bao giờ kích hoạt khi ứng dụng rảnh.
Sau đó đọc phía tuyến đường một cách trung thực. Nếu hồ sơ nhà cung cấp hoặc nhà bán cung cấp danh sách bao gồm, đường hầm chỉ mang 10.20.0.0/16 sẽ không mang dịch vụ trong 10.30.0.0/16; đó là danh sách đang làm việc của nó, không phải lỗi theo ứng dụng. Tải trọng iOS tích hợp không có danh sách bao gồm. Không có nó, việc chia tách theo mặc định của nhà cung cấp và IncludeAllNetworks, không theo danh sách ẩn.
Kiểm tra ứng dụng, rồi kiểm tra những gì ra khỏi nó
Kiểm tra bằng tên, không chỉ địa chỉ. Phân giải một máy chủ nội bộ bên trong ứng dụng được quản lý chứng minh DNS cũng đi qua đường hầm, vì tải trọng quyết định bộ phân giải nào trả lời và miền tìm kiếm nào áp dụng. Định tuyến có thể hoàn hảo trong khi tra cứu tên thất bại, và hai triệu chứng chỉ đến các cài đặt khác nhau.
Sau đó kiểm tra ranh giới từ cả hai phía. Một ứng dụng cá nhân hoặc Safari phải đến trang công khai thông thường và báo địa chỉ nhà mạng hoặc nhà riêng, trong khi ứng dụng được quản lý đến dịch vụ riêng. Nếu cả hai báo cùng địa chỉ công khai, đường hầm không còn theo ứng dụng nữa, bất kể bản ghi ứng dụng nói gì.
Các luồng rời khỏi ứng dụng tạo ra phiếu khó hiểu. Một liên kết mở trong Safari, tài liệu chuyển qua bảng chia sẻ hoặc đăng nhập SSO chuyển sang trình duyệt sẽ rời tiến trình ứng dụng và đường hầm cùng với nó. Đăng nhập hiển thị bên trong ứng dụng thường được quy cho ứng dụng, nên đăng nhập nhúng có thể thành công ở nơi cùng URL thất bại trong Safari; hãy xác minh thay vì giả định. Khi nhà cung cấp danh tính chỉ truy cập được qua đường hầm, hãy giữ đăng nhập trong ứng dụng hoặc thêm miền của nhà cung cấp vào miền Safari của tải trọng để lưu lượng Safari khớp được bắt.
Khớp triệu chứng với lớp
Hình dạng lỗi cho biết nên lặp lại kiểm tra nào.
| What you see | Where the repair is |
|---|---|
| Tunnel never appears when the app opens | App-to-payload association, or the app is not the managed copy |
| Tunnel connects, internal name resolves, connection times out | Provider or vendor include list missing the subnet, or a far-side firewall |
| Tunnel connects, internal name fails to resolve | DNS servers or search domains in the payload |
| Every app uses the tunnel | OverridePrimary set, or a full-tunnel payload reused |
| Worked until an update, broken since | Association lost on reinstall, or the payload was replaced |
Đằng sau các dòng giữa là hai chi tiết: đường hầm theo ứng dụng có thể khỏe mạnh mà vẫn bỏ sót một mạng con không có trong danh sách nhà cung cấp nào, và một điện thoại được quản lý có thể giữ nhiều hơn một cấu hình VPN, nên xác nhận ứng dụng gắn với cấu hình nào thay vì giả định đó là cấu hình bạn đang đọc.
Sửa theo thứ tự này: trỏ bản ghi ứng dụng đến tải trọng đang hoạt động, cài lại ứng dụng qua quản lý, xác nhận đường hầm dựng lên ở yêu cầu đầu tiên của ứng dụng, rồi lặp lại kiểm tra tên và ranh giới. Nếu yêu cầu đầu tiên hoàn toàn không thể khởi động đường hầm, hãy dừng và kiểm tra phía nhà cung cấp, vì ứng dụng khách tùy chỉnh cần Network Extension hiện có và mã định danh khớp với ứng dụng đã cài.
Trả lại ba sự thật thay vì ảnh chụp màn hình: bản ghi ứng dụng trỏ đến tải trọng nào, Cài đặt có hiển thị nó như hồ sơ đã cài không, và yêu cầu thất bại là gì — một tên, địa chỉ hay chuyển sang trình duyệt. Ba câu trả lời này tách lỗi triển khai khỏi lỗi định tuyến, và người tiếp theo có thể hành động mà không lặp lại chẩn đoán.