Заключването на VPN в iPhone е политика, а не протокол

Иконата на VPN показва свързано, тунелът пада за миг при смяна на мрежата и трафикът, който е трябвало да бъде блокиран, излиза през мобилната мрежа. Нищо в интерфейса не обяви пропуск. Функцията, на която разчитахте, е политика на клиента и на платформата, а име на протокол в настройките не описва какво се случва в тази секунда.

Описвайте заключването като договор за състояния, а не като свойство на IKEv2 или On Demand.

Симптомът: иконата казва свързано

Иконата отразява представата на клиента за собственото му състояние и тази представа може да изостава от реалността с времето за повторно свързване. Кеширана страница, бързо повторно свързване или опресняване на статуса скриват интервала. Въпросът, който си струва да зададете, не е дали иконата е била зелена, а какво е позволило устройството, докато тунелът е отсъствал. Същото закъснение обяснява защо снимка на екрана на приложението е толкова слабо доказателство: тя записва състояние, а не преход.

Този въпрос има отговор само ако политиката го определя.

Какво всъщност поддържа протоколът

IKEv2 поддържа и подновява удостоверена връзка IPsec, а функциите за мобилност помагат да се възстанови след промяна на адреса. Това е твърдение за жизнения цикъл на тунела. То не казва нищо за разрешението на iPhone да изпраща друг трафик в пропуска, защото това разрешение принадлежи на платформата и клиента, а не на обмена на ключове. Устройство, което се свързва отново за под секунда, все пак е имало прозорец и именно в него живее интересното поведение.

On Demand също описва поведение при активиране, а не дава универсална гаранция за блокиране.

Какво дава платформата на разработчика

Network Extension на Apple предоставя контроли за обхват на трафика, а неговото ръководство за маршрутизиране разграничава поведението с включване на всички мрежи от обикновените включени маршрути и изброява системните изключения. Съществува и управляван модел за внедряване Always On, отделен от настройката за автоматично свързване на лично приложение. Дали дадено приложение използва нещо от това е свойство на приложението, а не на протокола, на който говори.

Името на превключвател не е доказателство кой API извиква приложението.

Четете функцията като договор

Помолете доставчика да опише пет състояния: първоначално активиране, неочаквана загуба на тунела, умишлено прекъсване, изход от приложението и рестартиране на устройството. Поставете системните изключения и всеки умишлен достъп до LAN до този списък. След това попитайте дали функцията е по избор, наложена от управлението или зависи от режим на клиента, защото паузата от страна на потребителя и наложеното заключване на организация са различни продукти. Запишете тези пет отговора в записа за внедряване, защото следващият проверяващ ще зададе точно тези въпроси.

Функция, която блокира при неочаквана загуба, но не при умишлено прекъсване, е последователен дизайн. Просто не е този, който маркетинговата страница описва.

Как да тествате пропуските

Тествайте един преход наведнъж с безвреден трафик, в приложението и семейството адреси, които ви интересуват. Потвърдете какво е било разрешено по време на пропуска, а не какво е показала иконата след това. Запишете версията на клиента и политиката заедно с резултата, защото и двете се променят и нито едно не се вижда от екрана с настройки на телефона. Това е единственият начин да отделите реален пропуск от бавна икона.

Ако отговорът е важен за съответствието, поискайте го писмено, вместо да го извеждате от названието на продукта.