VPN-ikonet i iPhone er tændt: dækker det alle apps eller virker det bare?
Ét badge, tre forskellige påstande. Skeln mellem hvad profilen dækker, hvad on-demand-regler gør, og hvilken adressefamilie du faktisk testede.
Badget vises, appen opfører sig stadig som om den var hjemme, og den oplagte konklusion er, at tunnelen er brudt. Normalt er intet brudt. Badget rapporterer én forbindelse, mens spørgsmålet bag det handler om dækning, og det er forskellige påstande.
Tre betingelser afgør, hvilken påstand du kan fremsætte. Indtil de er afklaret, er ethvert testresultat tvetydigt.
Tre svar gemmer sig bag ét ikon
Det første spørgsmål er, hvad du ville have tunnelen til at gøre. At nå en intern wiki, skjule din adresse for en streamingtjeneste og beskytte én administreret app er tre forskellige krav, som tre forskellige profiler opfylder.
Det andet er, hvem der ejer profilen. En personligt installeret konfiguration opfører sig anderledes end en, der sendes ud af et styringssystem, og kun den anden kan bære regler pr. app, som iOS håndhæver. Badget kan ikke skelne de to.
Det tredje er den adressefamilie, du står på. En tunnel, der bærer IPv4, mens netværket uddeler IPv6, efterlader én vej uden for tunnelen. En test, der kun når et IPv4-websted, vil aldrig se det.
Profiler pr. app dækker kun deres egne apps
En VPN pr. app er det tilfælde, der giver flest falske alarmer. Profilen navngiver de apps, hvis trafik går ind i tunnelen, og alt andet fortsætter på det lokale netværk efter design. At din offentlige adresse forbliver den samme i en browser er derfor forventet adfærd, ikke bevis på fejl. Intet i statuslinjen modsiger det.
Test den app, profilen blev bygget til, og test den mod en ressource, der kun findes indeni. En vellykket intern anmodning fra den navngivne app beskriver en opsætning, der virker. En normal offentlig adresse i Safari beskriver så en profil pr. app, der fungerer præcis som konfigureret.
On-demand-regler ændrer det, du observerer
On-demand-konfiguration afgør, hvornår en forbindelse oprettes, ikke om trafik er dækket. En regel kan rejse tunnelen, når et bestemt domæne anmodes, og tage den ned, når anmodningen er færdig, hvilket betyder, at badget, der vises og forsvinder under almindelig brug, er designet, der virker. Læs reglerne, før du fortolker badget.
Den adfærd forklarer også resultater, der ser inkonsistente ud i løbet af en dag. Den samme app kan være tunneleret klokken ti om morgenen og direkte ved middagstid, fordi triggerbetingelsen ændrede sig, ikke politikken.
Én sondering er ikke et bevis på dækning
Én browserkontrol beviser, at én anmodning tog én vej, og intet mere. Den siger intet om en anden app med sin egen netværksstak, en baggrundssynkronisering, der kørte, før tunnelen kom op, eller en forbindelse, der overlevede et netværksskift, fordi den gamle socket aldrig blev genoprettet. Det hul er et omfangsproblem, ikke en lækage.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
Den fjerde række er den eneste, der peger på en fejl. En tilsluttet tunnel med brudt navneopløsning, en manglende returrute eller en tjeneste, der simpelthen er nede, ser ens ud fra appens synspunkt.
Hvad du skal notere, før du eskalerer
Skriv profilnavnet ned, om det kom fra et styringssystem, om der er regler pr. app, og det præcise tidspunkt for den mislykkede anmodning. Tilføj den adressefamilie, du testede, og den app, du testede fra. Intet tal på skærmen erstatter den liste. Den registrering adskiller et dækningsspørgsmål fra et nedbrud i én runde.
Hav også sikkerhedsgrundlaget i tankerne. En tunnel erstatter ikke certifikatvalidering, kontobeskyttelse eller enhedstilladelser. Et ikon ved netværksstatus er ikke bevis for, at noget af det er konfigureret, og at behandle det sådan er, hvordan en privatlivspåstand bliver fremsat på styrken af et badge.
Apples oversigt over implementering af VPN beskriver profiltyperne og on-demand-adfærden bag disse forskelle. Læs den, før du diskuterer med et styringssystem om, hvad en profil bør dække.