Das VPN auf dem iPhone dauerhaft aktiv lassen? Zwei Anforderungen entscheiden

Zwei Personen lassen dasselbe VPN-Profil den ganzen Tag aktiviert und ziehen unterschiedlichen Nutzen daraus. Die eine erreicht eine private Arbeitsanwendung, ohne darüber nachzudenken; der andere hält einen persönlichen Tunnel vor allem aus Gewohnheit am Laufen. Beide sehen dieselbe Anzeige in der Statusleiste, und diese Anzeige ist das Einzige, was die beiden Arrangements teilen.

Die Entscheidung ist nicht, ob sich dauerhafte Abdeckung sicherer anfühlt. Sie ist, für welche Anforderung Sie zahlen, was der Client tut, wenn das Gateway nicht erreichbar ist, und wie viel Ihres Datenverkehrs der gewählte Betreiber sehen kann. Beantworten Sie diese drei, und der Schalter ist keine Geschmacksfrage mehr.

Zwei Aufgaben, die sich ein Symbol teilen

Die erste Aufgabe ist Zugriff: Eine bestimmte Menge privater Ressourcen sollte erreichbar sein, wenn Sie die App öffnen, egal wo Sie sind. Die zweite Aufgabe ist Abdeckung: Datenverkehr, der sonst ein unbekanntes Netz durchqueren würde, soll stattdessen über einen Dienst verlassen, dem Sie vertrauen.

Sie zielen auf unterschiedliche Konfigurationen. Zugriff will den engsten Umfang, der noch funktioniert, weil ein voller Tunnel für eine interne Anwendung alles andere über ein Netz schickt, das dafür nie dimensioniert wurde. Abdeckung will den weitesten Umfang, den Sie tolerieren, weil ein Tunnel, der nur einige Anwendungen trägt, den Rest genau in dem Netz offenlegt, über das Sie sich Sorgen gemacht haben. Die meisten falsch konfigurierten Telefone enden als Mischung aus beidem, deshalb muss die Anforderung benannt werden, bevor das Profil gewählt wird.

Privater Arbeitszugriff: Umfang schlägt Dauerhaftigkeit

Wenn das Ziel der Zugriff auf eine interne Anwendung ist, lautet die nützliche Frage, wann der Tunnel aktiviert wird, nicht ob er bleibt. Ein verwaltetes Arrangement pro App kann nur den Datenverkehr dieser Anwendung durch das Gateway schicken, was persönliches Surfen auf dem gewohnten Weg und Arbeitsverkehr auf dem genehmigten hält. Das ist eine andere Form von Kontrolle als ein voller Tunnel, und es ändert, was die Anzeige bedeutet. Bei Umfang pro App kann das Symbol fehlen, während die Arbeits-App ihren Dienst weiterhin erreicht.

Dieser Umfang ist eine Richtlinienentscheidung desjenigen, dem die Bereitstellung gehört, keine persönliche Vorliebe, die Sie aus dem Verhalten der App ableiten können. Die Einstellungsbildschirme des Clients zeigen nicht immer, welcher der mehreren Mechanismen der Plattform gerade gilt, und die Bezeichnungen überlappen sich auf irreführende Weise.

Apples Dokumentation unterscheidet bedingte Aktivierung, Auswahl pro App und verwaltetes Immer-an-Verhalten. Der Schalter für automatisches Verbinden eines Drittanbieter-Clients gehört für sich genommen zu keiner dieser Kategorien, daher sollte eine Bezeichnung, die gleichwertig klingt, nicht als Versprechen der verwalteten Eigenschaft gelesen werden.

Die praktische Prüfung ist eine Anfrage an einen Dienst, von dem Sie wissen, dass er intern ist, bei bewusst abgeschaltetem Tunnel. Gelingt sie, ist der Tunnel nicht die Kontrolle, für die Sie ihn halten, und der Rest der Konfiguration verdient einen zweiten Blick, bevor Sie sich darauf verlassen.

Abgedecktes Surfen: die Ausfallregel ist das Produkt

Wenn das Ziel Abdeckung in unbekannten Netzen ist, ist der interessante Teil des Produkts nicht die Verbindung, sondern die Trennung. Zwei Clients, die beide automatisch verbinden, können sich völlig unterschiedlich verhalten, sobald das Gateway ablehnt oder das Netz sie blockiert.

Eine Sperrrichtlinie macht abgedeckten Verkehr unverfügbar, solange der Tunnel nicht aufgebaut werden kann. Das ist die stärkste Version der Abdeckung und die störendste: Ein Ausfall wird zu Ihrem Ausfall, und ein Captive Portal wird zu einer Mauer, die Sie nicht überwinden können, um die Seite zu erreichen, die Sie durchlassen würde.

Eine Rückfallrichtlinie hält Sie online, indem sie den Verkehr den gewohnten Weg nehmen lässt. Das ist brauchbarer und per Definition schwächer, denn genau in dem Moment, in dem der Tunnel ausfällt, verlässt der Verkehr das Gerät unverschlüsselt über das Netz, in dem Sie sich befinden. Der Verkehr geht trotzdem hinaus, und er geht in dem Netz hinaus, dem Sie nicht getraut haben. Das ist der Tausch, ohne Marketing formuliert.

Keines von beiden ist falsch, und der Fehler ist, während einer Reise herauszufinden, welches Sie gekauft haben. Testen Sie es zu Hause: Schalten Sie die Verbindungsfähigkeit des Tunnels ab und beobachten Sie, ob Seiten laden. Dieses eine Experiment sagt Ihnen mehr als jede Beschreibung auf einer Marketingseite eines Anbieters.

Was der Tunnel nicht repariert

Datenverkehr durch einen Betreiber zu leiten, gibt diesem Betreiber eine Position in Ihrem Verbindungsweg. Es macht die Seiten, die Sie besuchen, nicht vertrauenswürdig und ersetzt weder HTTPS noch Kontosicherheit noch die Sorgfalt bei der Frage, welche Profile Sie installieren. Ein Tunnel, der im Netz eines Anbieters endet, ist eine Änderung dessen, wer was beobachten kann, keine Beseitigung der Frage.

Dasselbe gilt für das lokale Netz. Ein VPN kann Ihren Verkehr von einem Hotelzugangsnetz fernhalten, und es kann nicht verhindern, dass dieses Netz den Tunnel selbst blockiert oder die Namensauflösung stört, bevor der Tunnel existiert.

Leistung und Akkulaufzeit gehören in dieselbe Kategorie ehrlicher Beobachtung. An die Anzeige ist keine feste Strafe geknüpft; die Route des Gateways, die Qualität des Zugangsnetzes, die Verkehrsmenge und die Häufigkeit von Wiederverbindungen bewegen die Zahl. Zwei Konfigurationen bei gleicher Nutzung zu vergleichen, ist die einzige Messung, die etwas bedeutet.

Wählen Sie für das Gerät, das Sie tatsächlich haben

Auf einem persönlichen Telefon wählen Sie das Verhalten, das zu Ihrer Anforderung passt, und schreiben die Ausfallregel auf, die Sie akzeptiert haben. Wenn Sie Abdeckung mit Sperre gewählt haben, behalten Sie einen Weg zur Statusseite des Anbieters von einem anderen Gerät; wenn Sie Rückfall gewählt haben, wissen Sie, dass das Scheitern des Tunnels konstruktionsbedingt still ist.

Auf einem verwalteten Arbeitshandy ist die Richtlinie des Administrators die Antwort, und das Fehlen einer Pausenkontrolle ist meist Absicht und kein Versehen, das man umgehen müsste. Eine Ausnahme über den normalen Weg zu erbitten ist schneller, als einen Umweg zu finden, den das nächste Profilupdate entfernt.

Wie auch immer, überdenken Sie die Entscheidung, wenn sich der Zweck ändert. Ein Tunnel, der für eine interne Anwendung konfiguriert ist, passt schlecht zu ganzzeitiger Surfabdeckung, und ein Volltunnelprofil, das für eine einzige App gehalten wird, verschiebt still eine Menge Verkehr, den Sie nie übergeben wollten.