Faut-il garder le VPN de l’iPhone toujours actif ? Deux exigences décident

Deux personnes laissent le même profil VPN activé toute la journée et en tirent une valeur différente. L’une atteint une application de travail privée sans y penser ; l’autre maintient un tunnel personnel en marche surtout par habitude. Toutes deux voient le même indicateur dans la barre d’état, et cet indicateur est la seule chose que les deux arrangements partagent.

La décision ne porte pas sur le fait de savoir si une couverture permanente semble plus sûre. Elle porte sur l’exigence que vous payez, sur ce que fait le client lorsque la passerelle est injoignable, et sur la part de votre trafic que l’opérateur choisi peut voir. Répondez à ces trois questions et l’interrupteur cesse d’être une affaire de goût.

Deux tâches qui partagent une icône

Le premier travail est l’accès : un ensemble précis de ressources privées devrait être joignable quand vous ouvrez l’application, d’où que vous soyez. Le second travail est la couverture : le trafic qui traverserait autrement un réseau inconnu devrait sortir par un service auquel vous faites confiance.

Ils visent des configurations différentes. L’accès veut la portée la plus étroite qui fonctionne encore, car un tunnel complet pour une seule application interne envoie tout le reste par un réseau qui n’a jamais été dimensionné pour cela. La couverture veut la portée la plus large que vous pouvez tolérer, car un tunnel qui ne transporte que certaines applications laisse le reste exposé précisément sur le réseau qui vous inquiétait. La plupart des téléphones mal configurés finissent en mélange des deux, et c’est pourquoi l’exigence doit être nommée avant de choisir le profil.

Accès professionnel privé : la portée plutôt que la permanence

Si l’objectif est d’atteindre une application interne, la question utile est quand le tunnel s’active, et non s’il reste actif. Un arrangement géré par application peut envoyer uniquement le trafic de cette application par la passerelle, ce qui garde la navigation personnelle sur le chemin ordinaire et le trafic professionnel sur celui qui est approuvé. C’est une autre forme de contrôle qu’un tunnel complet, et cela change ce que signifie l’indicateur. Avec une portée par application, l’icône peut être absente alors que l’application de travail atteint encore son service.

Cette portée est une décision de politique prise par le propriétaire du déploiement, et non une préférence personnelle que vous pourriez déduire du comportement de l’application. Les écrans de réglages du client ne révèlent pas toujours lequel des plusieurs mécanismes de la plateforme est en vigueur, et les libellés se chevauchent de façon trompeuse.

La documentation d’Apple distingue l’activation conditionnelle, la sélection par application et le comportement géré toujours actif. L’interrupteur de connexion automatique d’un client tiers n’appartient à lui seul à aucune de ces catégories, donc un libellé qui sonne équivalent ne doit pas être lu comme une promesse de la propriété gérée.

Le contrôle pratique est une requête vers un service que vous savez interne, faite avec le tunnel délibérément coupé. Si elle réussit, le tunnel n’est pas le contrôle que vous croyez, et le reste de la configuration mérite un second regard avant que vous ne comptiez sur lui.

Navigation couverte : la politique d’échec est le produit

Si l’objectif est la couverture sur des réseaux inconnus, la partie intéressante du produit n’est pas la connexion mais la déconnexion. Deux clients qui se connectent tous deux automatiquement peuvent se comporter très différemment à l’instant où la passerelle refuse ou où le réseau le bloque.

Une politique de blocage rend le trafic couvert indisponible tant que le tunnel ne peut pas être établi. C’est la version la plus forte de la couverture et la plus perturbante : une panne devient votre panne, et un portail captif devient un mur que vous ne pouvez pas franchir pour atteindre la page qui vous laisserait passer.

Une politique de repli vous garde en ligne en laissant le trafic prendre le chemin ordinaire. C’est plus utilisable et plus faible par définition, car l’instant exact où le tunnel échoue est celui où le trafic sort sans chiffrement par le réseau sur lequel vous vous trouvez. Le trafic sort quand même, et il sort sur le réseau auquel vous ne faisiez pas confiance. C’est le compromis, dit sans le marketing.

Aucune des deux n’est fausse, et l’erreur est de découvrir pendant un voyage laquelle vous avez achetée. Testez-le chez vous : désactivez la capacité du tunnel à se connecter, puis regardez si les pages se chargent. Cette seule expérience vous en dit plus que n’importe quelle description sur la page marketing d’un fournisseur.

Ce que le tunnel ne répare pas

Router le trafic par un seul opérateur donne à cet opérateur une position sur votre chemin de connexion. Cela ne rend pas les sites que vous visitez dignes de confiance et ne remplace ni HTTPS, ni la sécurité du compte, ni le soin apporté aux profils que vous installez. Un tunnel qui se termine dans le réseau d’un fournisseur est un changement de qui peut observer quoi, non la suppression de la question.

Il en va de même pour le réseau local. Un VPN peut garder votre trafic à l’écart du réseau d’accès d’un hôtel, et il ne peut pas empêcher ce réseau de bloquer le tunnel lui-même ou d’interférer avec la résolution de noms avant que le tunnel existe.

Les performances et la batterie relèvent de la même catégorie d’observation honnête. Aucune pénalité fixe n’est attachée à l’indicateur ; la route que prend la passerelle, la qualité du réseau d’accès, le volume de trafic et la fréquence des reconnexions déplacent tous le chiffre. Comparer deux configurations dans le même usage est la seule mesure qui signifie quelque chose.

Choisissez pour l’appareil que vous avez réellement

Sur un téléphone personnel, choisissez le comportement qui correspond à votre exigence et notez la politique d’échec que vous avez acceptée. Si vous avez choisi la couverture avec blocage, gardez un moyen de joindre la page d’état du fournisseur depuis un autre appareil ; si vous avez choisi le repli, sachez que l’échec du tunnel est silencieux par conception.

Sur un téléphone professionnel géré, la réponse est la politique de l’administrateur, et l’absence d’un contrôle de pause est généralement délibérée plutôt qu’un oubli à contourner. Demander une exception par le canal normal est plus rapide que de trouver un contournement que la prochaine mise à jour de profil supprimera.

Quoi qu’il en soit, revoyez la décision lorsque l’objectif change. Un tunnel configuré pour une seule application interne convient mal à une couverture de navigation à plein temps, et un profil de tunnel complet conservé pour une seule application déplace discrètement beaucoup de trafic que vous n’aviez jamais l’intention de livrer.