Cal mantenir la VPN de l’iPhone sempre encesa? Dues exigències ho decideixen
La cobertura permanent s’ajusta a un propòsit definit i a un operador de confiança. Compareu l’accés privat amb la navegació coberta i després anoteu la política de fallada.
Dues persones deixen el mateix perfil de VPN activat tot el dia i n’obtenen un valor diferent. Una arriba a una aplicació de feina privada sense pensar-hi; l’altra manté un túnel personal en marxa sobretot per costum. Totes dues veuen el mateix indicador a la barra d’estat, i aquest indicador és l’únic que comparteixen els dos arranjaments.
La decisió no és si la cobertura permanent sembla més segura. És quina exigència pagueu, què fa el client quan la passarel·la no és accessible i quant del vostre trànsit pot veure l’operador triat. Responeu aquestes tres i l’interruptor deixa de ser qüestió de gust.
Dues feines que comparteixen una icona
La primera feina és l’accés: un conjunt concret de recursos privats hauria de ser accessible quan obriu l’aplicació, des d’on sigueu. La segona feina és la cobertura: el trànsit que d’altra manera travessaria una xarxa desconeguda hauria de sortir per un servei en què confieu.
Apunten a configuracions diferents. L’accés vol l’abast més estret que encara funcioni, perquè un túnel complet per a una aplicació interna envia tota la resta per una xarxa que mai no es va dimensionar per a això. La cobertura vol l’abast més ampli que pugueu tolerar, perquè un túnel que només transporta algunes aplicacions deixa la resta exposada exactament a la xarxa que us preocupava. La majoria de telèfons mal configurats acaben com una barreja de tots dos, i per això cal nomenar l’exigència abans de triar el perfil.
| Requirement | What you are buying | What to check |
|---|---|---|
| Private work access | Reachability of approved services | Per-app or on-demand scope, and what happens outside it |
| Covered browsing | A trusted exit for everyday traffic | Traffic scope, reconnect behaviour and blocking policy |
Accés privat de feina: l’abast guanya la permanència
Si l’objectiu és arribar a una aplicació interna, la pregunta útil és quan s’activa el túnel, no si es manté. Un arranjament gestionat per aplicació pot enviar només el trànsit d’aquesta aplicació per la passarel·la, cosa que manté la navegació personal al camí ordinari i el trànsit de feina al camí aprovat. És una forma de control diferent de la del túnel complet, i canvia el que significa l’indicador. Amb abast per aplicació, la icona pot ser absent mentre l’aplicació de feina encara arriba al seu servei.
Aquest abast és una decisió de política presa per qui posseeix el desplegament, no una preferència personal que pugueu inferir del comportament de l’aplicació. Les pantalles de configuració del client no sempre revelen quin dels diversos mecanismes de la plataforma està en vigor, i les etiquetes s’encavalquen de maneres que enganyen.
La documentació d’Apple distingeix l’activació condicional, la selecció per aplicació i el comportament gestionat sempre actiu. L’interruptor de connexió automàtica d’un client de tercers no pertany per si sol a cap d’aquestes categories, així que una etiqueta que sona equivalent no s’ha de llegir com una promesa de la propietat gestionada.
La comprovació pràctica és una petició a un servei que sabeu que és intern, feta amb el túnel deliberadament desactivat. Si té èxit, el túnel no és el control que penseu, i la resta de la configuració mereix una segona mirada abans que hi confieu.
Navegació coberta: la política de fallada és el producte
Si l’objectiu és la cobertura en xarxes desconegudes, la part interessant del producte no és la connexió sinó la desconnexió. Dos clients que es connecten automàticament poden comportar-se de manera completament diferent en el moment que la passarel·la refusa o la xarxa el bloqueja.
Una política de bloqueig fa que el trànsit cobert no estigui disponible mentre el túnel no es pot establir. És la versió més forta de la cobertura i la més disruptiva: una caiguda es converteix en la vostra caiguda, i un portal captiu es converteix en un mur que no podeu travessar per arribar a la pàgina que us deixaria passar.
Una política de retrocés us manté en línia deixant que el trànsit prengui el camí ordinari. És més utilitzable i més feble per definició, perquè el moment exacte en què el túnel falla és el moment en què el trànsit surt sense xifrar per la xarxa on sigueu. El trànsit surt igualment, i surt per la xarxa en què no confiàveu. Aquest és el bescanvi, dit sense màrqueting.
Cap dels dos no és incorrecte, i l’error és descobrir durant un viatge quin heu comprat. Proveu-ho a casa: desactiveu la capacitat del túnel de connectar-se i observeu si les pàgines carreguen. Aquest sol experiment us diu més que qualsevol descripció de la pàgina de màrqueting d’un proveïdor.
Què no arregla el túnel
Encaminar el trànsit per un sol operador dona a aquest operador una posició en el vostre camí de connexió. No fa que els llocs que visiteu siguin de confiança, ni substitueix HTTPS, la seguretat del compte o la cura sobre quins perfils instal·leu. Un túnel que acaba a la xarxa d’un proveïdor és un canvi de qui pot observar què, no l’eliminació de la pregunta.
El mateix s’aplica a la xarxa local. Una VPN pot mantenir el vostre trànsit lluny de la xarxa d’accés d’un hotel, i no pot impedir que aquesta xarxa bloquegi el túnel mateix o interfereixi en la resolució de noms abans que el túnel existeixi.
El rendiment i la bateria pertanyen a la mateixa categoria d’observació honesta. No hi ha una penalització fixa lligada a l’indicador; la ruta que pren la passarel·la, la qualitat de la xarxa d’accés, la quantitat de trànsit i la freqüència de reconnexions mouen el número. Comparar dues configuracions amb el mateix ús és l’única mesura que significa res.
Trieu per al dispositiu que realment teniu
En un telèfon personal, trieu el comportament que encaixa amb la vostra exigència i anoteu la política de fallada que heu acceptat. Si heu triat cobertura amb bloqueig, conserveu una manera d’arribar a la pàgina d’estat del proveïdor des d’un altre dispositiu; si heu triat retrocés, sapigueu que la fallada del túnel és silenciosa per disseny.
En un telèfon de feina gestionat, la resposta és la política de l’administrador, i l’absència d’un control de pausa sol ser deliberada més que un descuit per evitar. Demanar una excepció pel canal normal és més ràpid que trobar una via alternativa que la propera actualització del perfil eliminarà.
De qualsevol manera, reviseu la decisió quan canviï el propòsit. Un túnel configurat per a una aplicació interna encaixa malament amb una cobertura de navegació a temps complet, i un perfil de túnel complet mantingut per a una sola aplicació mou en silenci molt de trànsit que mai no havíeu d’entregar.