Icône VPN activée sur iPhone : couvre-t-elle toutes les apps ou fonctionne-t-elle seulement ?
Un badge, trois affirmations différentes. Séparez ce que couvre le profil, ce que font les règles à la demande et la famille d’adresses que vous avez réellement testée.
Le badge apparaît, l’app se comporte toujours comme si elle était à la maison, et la conclusion évidente est que le tunnel est en panne. Habituellement, rien n’est en panne. Le badge signale une connexion, alors que la question derrière porte sur la couverture, et ce sont des affirmations différentes.
Trois conditions décident quelle affirmation vous pouvez faire. Tant qu’elles ne sont pas réglées, tout résultat de test est ambigu.
Trois réponses se cachent derrière une icône
La première question est ce que vous vouliez que le tunnel fasse. Atteindre un wiki interne, masquer votre adresse à un service de streaming et protéger une seule app gérée sont trois exigences différentes que trois profils différents satisfont.
La deuxième est qui possède le profil. Une configuration installée personnellement se comporte différemment de celle poussée par un système de gestion, et seule la seconde peut porter des règles par app qu’iOS applique. Le badge ne peut pas distinguer les deux.
La troisième est la famille d’adresses sur laquelle vous êtes. Un tunnel qui transporte de l’IPv4 alors que le réseau distribue de l’IPv6 laisse un chemin hors du tunnel. Un test qui n’atteint qu’un site IPv4 ne le verra jamais.
Les profils par app ne couvrent que leurs apps
Un VPN par app est le cas qui produit le plus de fausses alertes. Le profil nomme les apps dont le trafic entre dans le tunnel, et tout le reste continue sur le réseau local par conception. Que votre adresse publique reste identique dans un navigateur est donc un comportement attendu, pas une preuve de panne. Rien dans la barre d’état ne le contredit.
Testez l’app pour laquelle le profil a été conçu, et testez-la contre une ressource qui n’existe qu’à l’intérieur. Une requête interne réussie depuis l’app nommée décrit une configuration qui fonctionne. Une adresse publique normale dans Safari décrit alors un profil par app qui se comporte exactement comme configuré.
Les règles à la demande changent ce que vous observez
La configuration à la demande décide quand une connexion est établie, et non si le trafic est couvert. Une règle peut monter le tunnel lorsqu’un domaine particulier est demandé et le couper lorsque la requête se termine, ce qui signifie que le badge qui apparaît et disparaît pendant un usage ordinaire est le design qui fonctionne. Lisez les règles avant d’interpréter le badge.
Ce comportement explique aussi des résultats qui semblent incohérents au fil de la journée. La même app peut être tunnellisée à dix heures du matin et directe à midi, parce que la condition de déclenchement a changé et non la politique.
Une sonde n’est pas une preuve de couverture
Une seule vérification dans un navigateur prouve qu’une requête a suivi un chemin, et rien de plus. Elle ne dit rien d’une seconde app avec sa propre pile réseau, d’une synchronisation en arrière-plan qui a tourné avant que le tunnel monte, ou d’une connexion qui a survécu à un changement de réseau parce que l’ancien socket n’a jamais été rétabli. Cet écart est un problème de périmètre, pas une fuite.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
La quatrième ligne est la seule qui indique une panne. Un tunnel connecté avec une résolution de noms cassée, une route de retour manquante ou un service simplement arrêté se ressemblent tous du point de vue de l’app.
Ce qu’il faut noter avant d’escalader
Notez le nom du profil, s’il vient d’un système de gestion, si des règles par app sont présentes et l’heure exacte de la requête en échec. Ajoutez la famille d’adresses testée et l’app depuis laquelle vous avez testé. Aucun chiffre à l’écran ne remplace cette liste. Ce relevé sépare une question de couverture d’une panne en un seul aller-retour.
Gardez aussi les bases de sécurité en vue. Un tunnel ne remplace pas la validation des certificats, la protection du compte ou les autorisations de l’appareil. Une icône à côté de l’état du réseau n’est pas la preuve que l’une de ces choses est configurée, et c’est ainsi qu’une affirmation de confidentialité se construit sur la force d’un badge.
La présentation du déploiement de VPN d’Apple décrit les types de profils et le comportement à la demande derrière ces différences. Lisez-la avant de discuter avec un système de gestion de ce qu’un profil devrait couvrir.