Die VPN-Sperre deines iPhone ist eine Richtlinie, nicht das Protokoll

Das VPN-Symbol zeigt verbunden, der Tunnel fällt bei einem Netzwerkwechsel kurz aus, und Verkehr, der hätte blockiert werden müssen, geht über Mobilfunk hinaus. Nichts in der Oberfläche kündigte eine Lücke an. Die Funktion, auf die du dich verlassen hast, ist eine Richtlinie von Client und Plattform, und ein Protokollname in den Einstellungen beschreibt nicht, was in dieser Sekunde geschieht.

Beschreibe die Sperre als einen Vertrag über Zustände, nicht als Eigenschaft von IKEv2 oder On Demand.

Das Symptom: Das Symbol sagt verbunden

Ein Symbol spiegelt die Sicht des Clients auf seinen eigenen Zustand wider, und diese Sicht kann der Wirklichkeit um die Dauer einer Wiederverbindung hinterherhinken. Eine zwischengespeicherte Seite, eine schnelle Wiederverbindung oder eine Statusaktualisierung verdecken alle das Intervall. Die Frage, die sich lohnt, ist nicht, ob das Symbol grün war, sondern was das Gerät erlaubte, während der Tunnel fehlte. Dieselbe Verzögerung erklärt, warum ein Screenshot der App so ein schwacher Beweis ist: Er hält einen Zustand fest, keinen Übergang.

Diese Frage hat nur dann eine Antwort, wenn die Richtlinie sie definiert.

Was das Protokoll tatsächlich aufrechterhält

IKEv2 unterhält und erneuert eine authentifizierte IPsec-Beziehung, und Mobilitätsfunktionen helfen, sie nach einem Adresswechsel wiederherzustellen. Das ist eine Aussage über den Lebenszyklus des Tunnels. Sie sagt nichts über die Erlaubnis des iPhones, in der Lücke anderen Verkehr zu senden, denn diese Erlaubnis gehört der Plattform und dem Client, nicht dem Schlüsselaustausch. Ein Gerät, das in unter einer Sekunde wieder verbindet, hatte trotzdem ein Fenster, und in diesem Fenster lebt das interessante Verhalten.

On Demand ist ebenso eine Beschreibung des Aktivierungsverhaltens, keine allgemeine Sperrgarantie.

Was die Plattform einem Entwickler bietet

Apples Network Extension stellt Kontrollen für den Verkehrsumfang bereit, und sein Routing-Leitfaden unterscheidet das Verhalten mit allen Netzwerken von gewöhnlichen eingeschlossenen Routen und listet die Systemausnahmen auf. Es gibt auch ein beaufsichtigtes Always-On-Bereitstellungsmodell, getrennt von der Einstellung für automatische Verbindung einer persönlichen App. Ob eine bestimmte App davon etwas nutzt, ist eine Eigenschaft der App, nicht des Protokolls, das sie spricht.

Der Name eines Schalters ist kein Beweis dafür, welche API die App aufruft.

Lies die Funktion als Vertrag

Bitte den Anbieter, fünf Zustände zu benennen: Erstaktivierung, unerwarteter Tunnelverlust, absichtliche Trennung, Beenden der App und Neustart des Geräts. Stelle die Systemausnahmen und jeden beabsichtigten LAN-Zugriff neben diese Liste. Frage dann, ob die Funktion optional, durch Verwaltung erzwungen oder an einen Clientmodus gebunden ist, denn eine vom Nutzer gewählte Pause und eine von einer Organisation erzwungene Sperre sind verschiedene Produkte. Schreib diese fünf Antworten in den Bereitstellungsdatensatz, denn der nächste Prüfer wird genau diese Fragen stellen.

Eine Funktion, die bei unerwartetem Verlust sperrt, bei absichtlicher Trennung aber nicht, ist ein stimmiges Design. Es ist nur nicht das, das die Marketingseite beschrieben hat.

Wie man die Lücken testet

Teste einen Übergang nach dem anderen mit harmlosem Verkehr, in der App und Adressfamilie, die dich interessiert. Bestätige, was in der Lücke erlaubt war, nicht was das Symbol danach zeigte. Halte Clientversion und Richtlinie neben dem Ergebnis fest, denn beide ändern sich und keines ist vom Einstellungsbildschirm des Telefons aus sichtbar. Nur so lässt sich eine echte Lücke von einem langsamen Symbol unterscheiden.

Wenn die Antwort für die Compliance zählt, verlange sie schriftlich, statt sie aus einem Produktnamen abzuleiten.