VPN a l’iPhone després d’un reinici: què ha de passar primer
Convertiu «mantenir la VPN encesa» en un requisit d’arrencada: què es connecta, què encara necessita una persona i què queda bloquejat abans que s’executi la primera tasca protegida.
«Manteniu la VPN encesa» aguanta uns trenta segons d’interrogatori. Encesa després d’un reinici? Encesa abans que desbloquegeu el telèfon? Encesa mentre el Wi-Fi encara mostra una pàgina d’inici de sessió? Bloquejar el trànsit fins que el túnel pugi o deixar que la primera aplicació provi la connexió directa? Són quatre requisits diferents i només alguns es poden garantir configurant el telèfon. Escriviu la resposta com una línia temporal amb etapes i després comproveu cada etapa després d’un reinici real.
| Stage | Personal profile | Supervised Always On |
|---|---|---|
| Before first unlock | do not assume a tunnel | do not assume a tunnel either |
| After unlock, network up | depends on the provider or On Demand rule | activates without user interaction |
| Tunnel negotiating | first app may already be trying | policy decides whether traffic waits |
| Gateway unreachable | usually falls back to whatever the client allows | follows the deployed policy |
Escriviu el requisit com una línia temporal
Comenceu pel moment que importa al negoci: quina tasca protegida no pot passar sense un túnel i quant de temps després de l’arrencada es prova realment aquesta tasca. Tot el que hi ha abans d’aquest moment és una seqüència, i la seqüència és el que verifiqueu. Una nota que digui «la VPN ha d’estar encesa» no es pot provar, mentre que «cap trànsit cap a l’amfitrió de registres abans que el túnel estigui establert» sí que es pot.
Després separeu què pot fer un telèfon personal del que pot fer un parc supervisat, perquè les dues respostes no són intercanviables.
Pas u: l’estat abans del primer desbloqueig
No deduïu el comportament abans del desbloqueig a partir d’un túnel que hàgiu vist després de desbloquejar. La prova honesta és reiniciar, deixar el telèfon bloquejat i observar des de l’altre extrem si es forma cap túnel. En la majoria de configuracions personals la resposta serà no, i això no és cap defecte; només vol dir que la primera tasca protegida no s’ha de provar abans que es desbloquegi el telèfon.
Si un requisit depèn realment de cobertura abans del desbloqueig, porteu-lo al responsable del desplegament i no a un paràmetre del client.
Pas dos: preparació de la xarxa i portals captius
L’Always On supervisat s’activa sense intervenció de l’usuari i es manté entre reinicis mentre el seu perfil estigui instal·lat, i l’establiment segueix el moment en què la interfície obté accessibilitat IP. Aquesta darrera frase és la important: un telèfon que encara no ha obtingut una adreça no té res sobre què construir. Un portal d’hotel que no s’ha acceptat és una xarxa que no està a punt exactament en aquest sentit, i cap preferència de VPN recordada no ho completa per vosaltres.
Per tant, la nota d’acceptació necessita una línia per al cas del portal. O el telèfon espera, o un usuari passa primer pel portal, i quina de les dues és acceptable depèn de qui viatja. Escriviu l’elecció, perquè la persona que reinicia a les set del matí no la inventarà. Un portal que demana un número d’habitació també és un cas diferent d’un que només accepta una casella de verificació.
Pas tres: autenticació que encara necessita una persona
L’activació automàtica i l’autenticació automàtica són capacitats separades. Un perfil amb certificat de dispositiu pot completar la segona sense cap persona, mentre que una passarel·la que exigeix un factor d’un sol ús no pot, i cap política ho farà. Determineu quina de les dues desplegueu abans de prometre una seqüència d’arrencada sense mans.
A continuació anoteu l’estat intermedi explícitament: si l’autenticació està pendent, es bloqueja el trànsit, es posa en cua o s’envia directe? La resposta pertany al pla perquè és la finestra on una configuració incorrecta es converteix en una fuita. Proveu-ho fent que la passarel·la no sigui accessible i observant què fa el telèfon, en lloc de llegir la descripció que el client fa de si mateix.
Pas quatre: la primera tasca protegida i després una transició
Després del reinici planificat, obriu la tasca protegida i confirmeu que té èxit i que realment ha utilitzat el túnel. Després repetiu la mateixa tasca durant una transició de Wi-Fi a mòbil, perquè aquest moviment renegocia la xarxa subjacent i és on un perfil que només funcionava a l’arrencada comença a fallar. Anoteu tres fets per a cada execució: si la connexió ha pujat automàticament, si us heu hagut d’autenticar i si el recurs esperat ha respost.
Si la protecció durant el buit és obligatòria, utilitzeu el mètode de verificació que aprova el responsable del desplegament. Una sola càrrega de pàgina correcta no pot demostrar que res no ha anat directe abans.