La icona de VPN de l'iPhone està activa: cobreix totes les apps o només funciona?
Una insígnia, tres afirmacions diferents. Separa què cobreix el perfil, què fan les regles sota demanda i quina família d'adreces has provat realment.
La insígnia apareix, l'app continua comportant-se com si fos a casa i la conclusió òbvia és que el túnel està trencat. Normalment no hi ha res trencat. La insígnia informa d'una connexió, mentre que la pregunta que hi ha al darrere tracta de la cobertura, i són afirmacions diferents.
Tres condicions decideixen quina afirmació pots fer. Fins que no estiguin resoltes, qualsevol resultat de prova és ambigu.
Tres respostes s'amaguen darrere d'una icona
La primera pregunta és què volies que fes el túnel. Arribar a un wiki intern, amagar la teva adreça d'un servei d'streaming i protegir una única app gestionada són tres requisits diferents que satisfan tres perfils diferents.
La segona és qui posseeix el perfil. Una configuració instal·lada personalment es comporta de manera diferent d'una que envia un sistema de gestió, i només la segona pot portar regles per app que iOS aplica. La insígnia no pot distingir les dues.
La tercera és la família d'adreces on et trobes. Un túnel que transporta IPv4 mentre la xarxa reparteix IPv6 deixa un camí fora del túnel. Una prova que només arriba a un lloc IPv4 no ho veurà mai.
Els perfils per app només cobreixen les seves apps
Un VPN per app és el cas que produeix més falses alarmes. El perfil anomena les apps el trànsit de les quals entra al túnel, i la resta continua per la xarxa local per disseny. Per tant, que la teva adreça pública no canviï al navegador és un comportament esperat, no una prova de fallada. Res a la barra d'estat ho contradiu.
Prova l'app per a la qual es va crear el perfil i prova-la contra un recurs que només existeixi a dins. Una petició interna correcta des de l'app esmentada descriu una configuració que funciona. Una adreça pública normal a Safari descriu llavors un perfil per app que fa exactament el que s'ha configurat.
Les regles sota demanda canvien el que observes
La configuració sota demanda decideix quan s'estableix una connexió, no si el trànsit està cobert. Una regla pot aixecar el túnel quan es demana un domini concret i abaixar-lo quan la petició acaba, cosa que significa que la insígnia que apareix i desapareix durant l'ús normal és el disseny funcionant. Llegeix les regles abans d'interpretar la insígnia.
Aquest comportament també explica resultats que semblen incoherents al llarg del dia. La mateixa app pot anar pel túnel a les deu del matí i directa al migdia, perquè ha canviat la condició del disparador i no la política.
Una sonda no és una prova de cobertura
Una sola comprovació al navegador demostra que una petició va seguir un camí, i res més. No diu res sobre una segona app amb la seva pròpia pila de xarxa, una sincronització en segon pla que va córrer abans que el túnel s'aixequés, o una connexió que va sobreviure a un canvi de xarxa perquè el vell sòcol mai es va restablir. Aquest buit és un problema d'abast, no una fuita.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
La quarta fila és l'única que assenyala una fallada. Un túnel connectat amb resolució de noms trencada, una ruta de retorn absent o un servei que simplement està caigut es veuen iguals des del punt de vista de l'app.
Què cal registrar abans d'escalar
Anota el nom del perfil, si ve d'un sistema de gestió, si hi ha regles per app i l'hora exacta de la petició fallida. Afegeix la família d'adreces que has provat i l'app des de la qual has provat. Cap número a la pantalla substitueix aquesta llista. Aquest registre separa una qüestió de cobertura d'una caiguda en un sol intercanvi.
Tingues també presents els fonaments de seguretat. Un túnel no substitueix la validació de certificats, la protecció del compte ni els permisos del dispositiu. Una icona al costat de l'estat de la xarxa no és prova que cap d'ells estigui configurat, i tractar-la així és com es fa una afirmació de privadesa a partir d'una insígnia.
La visió general de desplegament de VPN d'Apple descriu els tipus de perfil i el comportament sota demanda que hi ha darrere d'aquestes diferències. Llegeix-la abans de discutir amb un sistema de gestió sobre què ha de cobrir un perfil.