Блакіроўка VPN на iPhone — гэта палітыка, а не пратакол

Значок VPN паказвае, што злучэнне ёсць, тунэль на імгненне падае падчас змены сеткі, і трафік, які павінен быў блакавацца, выходзіць праз мабільную сетку. Нішто ў інтэрфейсе не паведаміла пра разрыў. Функцыя, на якую вы спадзяваліся, — гэта палітыка кліента і платформы, а назва пратакола ў наладах не апісвае, што адбываецца ў гэтую секунду.

Апісвайце блакіроўку як дамову пра станы, а не як уласцівасць IKEv2 ці On Demand.

Сімптом: значок кажа, што злучэнне ёсць

Значок адлюстроўвае ўяўленне кліента пра ўласны стан, і гэта ўяўленне можа адставаць ад рэальнасці на час перападключэння. Кэшаваная старонка, хуткае перападключэнне або абнаўленне статусу хаваюць гэты інтэрвал. Варта пытаць не пра тое, ці быў значок зялёным, а пра тое, што дазволіла прылада, пакуль тунэль быў адсутны. Тая ж затрымка тлумачыць, чаму здымак экрана праграмы — такі слабы доказ: ён фіксуе стан, а не пераход.

Гэтае пытанне мае адказ, толькі калі палітыка яго вызначае.

Што пратакол насамрэч падтрымлівае

IKEv2 падтрымлівае і абнаўляе аўтэнтыфікаваныя адносіны IPsec, а функцыі мабільнасці дапамагаюць аднавіць іх пасля змены адраса. Гэта сцвярджэнне пра жыццёвы цыкл тунэля. Яно нічога не кажа пра дазвол iPhone адпраўляць іншы трафік у час разрыву, бо гэты дазвол належыць платформе і кліенту, а не абмену ключамі. Прылада, якая перападключылася менш чым за секунду, усё адно мела акно, і цікавыя паводзіны жывуць менавіта ў гэтым акне.

On Demand гэтак жа апісвае паводзіны актывацыі, а не дае ўніверсальную гарантыю блакіроўкі.

Што платформа прапануе распрацоўшчыку

Network Extension ад Apple дае сродкі абмежавання трафіку, а яго кіраўніцтва па маршрутызацыі адрознівае паводзіны з уключэннем усіх сетак ад звычайных уключаных маршрутаў і пералічвае сістэмныя выключэнні. Існуе таксама кіраваная мадэль разгортвання Always On, асобная ад налады аўтаматычнага злучэння ў асабістай праграме. Ці выкарыстоўвае пэўная праграма нешта з гэтага — гэта ўласцівасць праграмы, а не пратакола, на якім яна размаўляе.

Назва пераключальніка не даказвае, які API выклікае праграма.

Чытайце функцыю як дамову

Папрасіце пастаўшчыка акрэсліць пяць станаў: пачатковая актывацыя, нечаканая страта тунэля, наўмыснае адключэнне, выхад з праграмы і перазапуск прылады. Пастаўце сістэмныя выключэнні і любы наўмысны доступ да LAN побач з гэтым спісам. Затым спытайце, ці функцыя неабавязковая, ці прымусова ўключана кіраваннем, ці залежыць ад рэжыму кліента, бо паўза з боку карыстальніка і прымусовая блакіроўка арганізацыі — гэта розныя прадукты. Запішыце гэтыя пяць адказаў у запіс разгортвання, бо наступны рэцэнзент задасць менавіта гэтыя пытанні.

Функцыя, якая блакуе пры нечаканай страце, але не пры наўмысным адключэнні, — гэта цэласная канструкцыя. Проста гэта не тая, якую апісвала маркетынгавая старонка.

Як правяраць разрывы

Праверце адзін пераход за раз з бясшкодным трафікам, у той праграме і сямействе адрасоў, якія вас цікавяць. Пацвердзіце, што было дазволена падчас разрыву, а не тое, што паказаў значок пасля. Запішыце версію кліента і палітыку разам з вынікам, бо абодва змяняюцца і ні адзін не бачны з экрана налад тэлефона. Гэта адзіны спосаб адрозніць сапраўдны разрыў ад павольнага значка.

Калі адказ важны для адпаведнасці, папрасіце яго ў пісьмовым выглядзе, а не рабіце выснову з назвы прадукту.