VPN на iPhone пасля перазапуску: што павінна адбыцца перш за ўсё
Ператварыце «трымаць VPN уключаным» у патрабаванне да запуску: што падключаецца, што яшчэ патрабуе вас і што блакуецца, перш чым выканаецца першая абароненая задача.
«Трымайце VPN уключаным» вытрымлівае прыкладна трыццаць секунд пытанняў. Уключаны пасля перазапуску? Уключаны да таго, як вы разблакуеце тэлефон? Уключаны, пакуль Wi-Fi яшчэ паказвае старонку ўваходу? Блакаваць трафік, пакуль ён не ўзнімецца, ці дазволіць першай праграме паспрабаваць напрамую? Гэта чатыры розныя патрабаванні, і толькі некаторыя з іх тэлефон можна наладзіць так, каб гарантаваць. Запішыце адказ як часовую шкалу з этапамі, потым праверце кожны этап пасля рэальнага перазапуску.
| Stage | Personal profile | Supervised Always On |
|---|---|---|
| Before first unlock | do not assume a tunnel | do not assume a tunnel either |
| After unlock, network up | depends on the provider or On Demand rule | activates without user interaction |
| Tunnel negotiating | first app may already be trying | policy decides whether traffic waits |
| Gateway unreachable | usually falls back to whatever the client allows | follows the deployed policy |
Запішыце патрабаванне як часовую шкалу
Пачніце з моманту, важнага для бізнесу: якая абароненая задача не павінна адбыцца без тунеля і праз колькі часу пасля загрузкі гэтая задача рэальна спрабуецца. Усё да гэтага моманту — паслядоўнасць, і менавіта паслядоўнасць вы правяраеце. Нататку «VPN павінен быць уключаны» праверыць немагчыма, а «ніякага трафіку да хоста запісаў, пакуль тунель не ўсталяваны» — можна.
Затым аддзяліце тое, што можа асабісты тэлефон, ад таго, што можа падкантрольны парк прылад, бо гэтыя два адказы не ўзаемазаменныя.
Крок першы: стан да першага разблакавання
Не рабіце выснову пра паводзіны да разблакавання з тунеля, які вы бачылі пасля разблакавання. Сумленная праверка — перазапусціць, пакінуць тэлефон заблакаваным і назіраць з другога боку, ці ўтвараецца тунель. Для большасці асабістых наладаў адказ будзе «не», і гэта не дэфект; гэта проста значыць, што першую абароненую задачу нельга спрабаваць да разблакавання тэлефона.
Калі патрабаванне сапраўды залежыць ад пакрыцця да разблакавання, перанясіце яго да ўладальніка разгортвання, а не да налады кліента.
Крок другі: гатоўнасць сеткі і парталы ўваходу
Кіраваны Always On актывуецца без удзелу карыстальніка і захоўваецца паміж перазапускамі, пакуль яго профіль усталяваны, а ўсталяванне ідзе за атрыманнем інтэрфейсам дасяжнасці IP. Апошняя фраза і ёсць важная: тэлефон, які яшчэ не атрымаў адрас, не мае на чым будаваць. Галоўны партал, які не прыняты, — гэта сетка, не гатовая менавіта ў гэтым сэнсе, і ніякая запомненая налада VPN не завершыць гэта за вас.
Таму нататцы аб прыёмцы патрэбен радок для выпадку з парталам. Альбо тэлефон чакае, альбо карыстальнік спачатку праходзіць праз партал, і тое, што прымальна, залежыць ад таго, хто едзе. Запішыце выбар, бо чалавек, які перазапускае тэлефон а сёмай гадзіне раніцы, яго не прыдумае. Партал, які патрабуе нумар пакоя, — таксама іншы выпадак, чым той, што прымае толькі сцяжок.
Крок трэці: аўтэнтыфікацыя, якая ўсё яшчэ патрабуе чалавека
Аўтаматычная актывацыя і аўтаматычная аўтэнтыфікацыя — гэта розныя магчымасці. Профіль з сертыфікатам прылады можа выканаць другое без чалавека, а шлюз, які патрабуе аднаразовы фактар, не можа, і ніякая палітыка гэтага не зробіць. Вызначце, што менавіта з двух вы разгортваеце, перш чым абяцаць паслядоўнасць запуску без удзелу рук.
Затым зафіксуйце прамежкавы стан яўна: калі аўтэнтыфікацыя яшчэ чакаецца, трафік блакуецца, ставіцца ў чаргу ці адпраўляецца напрамую? Адказ належыць плану, бо гэта менавіта тое акно, дзе памылковая налада становіцца ўцечкай. Праверце гэта, зрабіўшы шлюз недасяжным і назіраючы, што робіць тэлефон, а не чытаючы ўласнае апісанне кліента пра сябе.
Крок чацвёрты: першая абароненая задача, потым пераход
Пасля запланаванага перазапуску адкрыйце абароненую задачу і пацвердзіце, што яна ўдалася і што яна сапраўды выкарыстала тунель. Затым паўтарыце тую ж задачу пры пераходзе з Wi-Fi на мабільную сетку, бо гэты рух перанігоцыюе базавую сетку, і менавіта тут профіль, які працаваў толькі пры запуску, пачынае збоіць. Запісвайце тры факты для кожнага запуску: ці злучэнне ўзнялося аўтаматычна, ці давялося аўтэнтыфікавацца і ці адказаў чаканы рэсурс.
Калі абарона падчас прамежку абавязковая, выкарыстайце метад праверкі, які адабрае ўладальнік разгортвання. Адна паспяховая загрузка старонкі не можа паказаць, што да яе нічога не ішло напрамую.