Значок VPN на iPhone уключаны: ці ахоплівае ён усе праграмы ці проста працуе?
Адзін значок, тры розныя сцвярджэнні. Аддзяліце тое, што ахоплівае профіль, што робяць правілы патрабавання, і якое сямейства адрасоў вы насамрэч праверылі.
Значок з'яўляецца, праграма па-ранейшаму паводзіць сябе так, нібы знаходзіцца дома, і відавочная выснова — тунель зламаны. Звычайна нічога не зламана. Значок паведамляе пра адно злучэнне, а пытанне за ім тычыцца ахопу, і гэта розныя сцвярджэнні.
Тры ўмовы вызначаюць, якое сцвярджэнне вы можаце зрабіць. Пакуль яны не вырашаны, любы вынік тэсту неадназначны.
За адным значком хаваюцца тры адказы
Першае пытанне — што вы хацелі, каб рабіў тунель. Дасягненне ўнутранай вікі, хаванне вашага адраса ад стрымінгавай службы і абарона адной кіраванай праграмы — гэта тры розныя патрабаванні, якія задавальняюць тры розныя профілі.
Другое — каму належыць профіль. Асабіста ўсталяваная канфігурацыя паводзіць сябе інакш, чым тая, што прасоўваецца сістэмай кіравання, і толькі другая можа несці правілы для асобных праграм, якія выконвае iOS. Значок не можа адрозніць гэтыя дзве.
Трэцяе — сямейства адрасоў, на якім вы стаіце. Тунель, які пераносіць IPv4, тады як сетка выдае IPv6, пакідае адзін шлях па-за тунелем. Тэст, які дасягае толькі сайта IPv4, ніколі гэтага не ўбачыць.
Профілі для асобных праграм ахопліваюць толькі свае праграмы
VPN для асобных праграм — гэта выпадак, які стварае найбольш ілжывых трывог. Профіль называе праграмы, чый трафік трапляе ў тунель, а ўсё астатняе працягвае працаваць у лакальнай сетцы па задуме. Таму тое, што ваш публічны адрас у браўзеры застаецца нязменным, — гэта чаканыя паводзіны, а не доказ збою. Нішто ў радку стану гэтаму не супярэчыць.
Тэстуйце праграму, для якой быў створаны профіль, і тэстуйце яе супраць рэсурсу, які існуе толькі ўнутры. Паспяховы ўнутраны запыт з названай праграмы апісвае працоўную наладу. Звычайны публічны адрас у Safari тады апісвае профіль для асобных праграм, які працуе менавіта так, як наладжана.
Правілы патрабавання змяняюць тое, што вы назіраеце
Канфігурацыя патрабавання вызначае, калі ўстанаўліваецца злучэнне, а не тое, ці ахоплены трафік. Правіла можа падняць тунель, калі запытваецца пэўны дамен, і апусціць яго, калі запыт скончыўся, а значыць, значок, які з'яўляецца і знікае падчас звычайнага выкарыстання, — гэта праца задумы. Чытайце правілы, перш чым тлумачыць значок.
Гэтыя паводзіны таксама тлумачаць вынікі, якія выглядаюць непаслядоўнымі на працягу дня. Тая ж праграма можа ісці праз тунель у дзесяць раніцы і прама ў поўдзень, бо змянілася ўмова запуску, а не палітыка.
Адна праверка не з'яўляецца доказам ахопу
Адна праверка браўзера даказвае, што адзін запыт прайшоў адным шляхам, і не больш. Яна нічога не кажа пра другую праграму з уласным сеткавым стэкам, фонавую сінхранізацыю, якая прайшла да ўзняцця тунеля, або злучэнне, якое перажыло змену сеткі, бо стары сокет так і не быў пераўсталяваны. Гэтая прага — праблема ахопу, а не ўцечка.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
Чацвёрты радок — адзіны, які паказвае на няспраўнасць. Падключаны тунель з парушаным развязаннем імёнаў, адсутны зваротны маршрут або проста непрацуючая служба выглядаюць аднолькава з пункту гледжання праграмы.
Што запісаць перад эскалацыяй
Запішыце назву профілю, ці прыйшоў ён з сістэмы кіравання, ці прысутнічаюць правілы для асобных праграм і дакладны час няўдалага запыту. Дадайце сямейства адрасоў, якое вы тэставалі, і праграму, з якой тэставалі. Ні адзін лік на экране не замяняе гэты спіс. Гэты запіс аддзяляе пытанне ахопу ад перапынку за адзін круг.
Трымайце ў полі зроку і асновы бяспекі. Тунель не замяняе праверку сертыфіката, абарону ўліковага запісу або дазволы прылады. Значок побач са станам сеткі не з'яўляецца доказам таго, што што-небудзь з гэтага наладжана, і менавіта такое стаўленне дазваляе рабіць заяву пра прыватнасць на падставе значка.
Агляд разгортвання VPN ад Apple апісвае тыпы профіляў і паводзіны патрабавання, якія стаяць за гэтымі адрозненнямі. Прачытайце яго, перш чым спрачацца з сістэмай кіравання пра тое, што павінен ахопліваць профіль.