VPN na iPhonu po restartu: co by mělo proběhnout nejdřív
Proměňte „nechte VPN zapnutou“ v požadavek při startu: co se připojuje, co ještě potřebuje vás a co je zablokováno, než se spustí první chráněný úkol.
„Nechte VPN zapnutou“ vydrží zhruba třicet sekund dotazování. Zapnutá po restartu? Zapnutá před odemčením telefonu? Zapnutá, když Wi-Fi ještě zobrazuje přihlašovací stránku? Blokovat provoz, dokud tunel nevyběhne, nebo nechat první aplikaci zkusit přímé spojení? To jsou čtyři různé požadavky a jen některé z nich lze konfigurací telefonu zaručit. Napište odpověď jako časovou osu s fázemi a pak každou fázi ověřte po skutečném restartu.
| Stage | Personal profile | Supervised Always On |
|---|---|---|
| Before first unlock | do not assume a tunnel | do not assume a tunnel either |
| After unlock, network up | depends on the provider or On Demand rule | activates without user interaction |
| Tunnel negotiating | first app may already be trying | policy decides whether traffic waits |
| Gateway unreachable | usually falls back to whatever the client allows | follows the deployed policy |
Napište požadavek jako časovou osu
Začněte okamžikem, na kterém záleží byznysu: který chráněný úkol nesmí proběhnout bez tunelu a jak dlouho po startu se o něj reálně pokouší. Všechno před tímto okamžikem je posloupnost a právě posloupnost ověřujete. Poznámka „VPN musí být zapnutá“ testovat nelze, kdežto „žádný provoz na hostitele záznamů před navázáním tunelu“ testovat lze.
Pak oddělte, co zvládne osobní telefon, od toho, co zvládne spravovaný park zařízení, protože obě odpovědi nejsou zaměnitelné.
První krok: stav před prvním odemčením
Neodvozujte chování před odemčením z tunelu, který jste viděli po odemčení. Poctivý test je restartovat, nechat telefon zamčený a z druhého konce sledovat, zda se tunel vůbec vytvoří. U většiny osobních nastavení bude odpověď ne, a to není závada; jen to znamená, že první chráněný úkol se nesmí zkoušet před odemčením telefonu.
Pokud požadavek skutečně závisí na pokrytí před odemčením, přineste ho vlastníkovi nasazení, ne nastavení v klientovi.
Druhý krok: připravenost sítě a přihlašovací portály
Spravovaný Always On se aktivuje bez zásahu uživatele a přetrvává přes restarty, dokud je jeho profil nainstalovaný, a navázání následuje poté, co rozhraní získá IP dostupnost. Ta poslední věta je důležitá: telefon, který ještě nedostal adresu, nemá na čem stavět. Hotelový portál, který nebyl přijat, je síť, která přesně v tomto smyslu není připravená, a žádná zapamatovaná předvolba VPN to za vás nedokončí.
Poznámka o převzetí proto potřebuje řádek pro případ portálu. Buď telefon čeká, nebo uživatel nejdřív projde portálem, a která varianta je přijatelná, závisí na tom, kdo cestuje. Napište volbu, protože člověk, který restartuje v sedm ráno, si ji nevymyslí. Portál, který vyžaduje číslo pokoje, je také jiný případ než ten, který přijímá jen zaškrtávací políčko.
Třetí krok: autentizace, která ještě potřebuje člověka
Automatická aktivace a automatická autentizace jsou oddělené schopnosti. Profil s certifikátem zařízení zvládne druhou bez člověka, kdežto brána vyžadující jednorázový faktor ne, a žádná politika to nezmění. Určete, kterou z těch dvou nasazujete, než slíbíte startovací sekvenci bez rukou.
Potom výslovně zaznamenejte přechodový stav: pokud autentizace čeká, blokuje se provoz, řadí se do fronty, nebo se posílá přímo? Odpověď patří do plánu, protože je to okno, kde se z chybné konfigurace stane únik. Otestujte to tak, že bránu znepřístupníte a budete sledovat, co telefon dělá, místo abyste četli, jak klient popisuje sám sebe.
Čtvrtý krok: první chráněný úkol a pak přechod
Po plánovaném restartu otevřete chráněný úkol a potvrďte, že uspěje a že skutečně použil tunel. Pak stejný úkol zopakujte při přechodu z Wi-Fi na mobilní síť, protože tento přesun znovu vyjednává podkladovou síť a právě tam profil, který fungoval jen při startu, začne selhávat. U každého běhu zaznamenejte tři skutečnosti: zda se spojení navázalo automaticky, zda jste se museli autentizovat a zda očekávaný prostředek odpověděl.
Pokud je ochrana během mezery povinná, použijte ověřovací metodu, kterou schvaluje vlastník nasazení. Jedno úspěšné načtení stránky nemůže ukázat, že před ním nic nešlo přímo.