O bloqueo de VPN do teu iPhone é unha política, non o protocolo

A icona da VPN mostra conectado, o túnel cae un momento durante un cambio de rede e o tráfico que debería estar bloqueado sae pola rede móbil. Nada na interface anunciou un oco. A función na que confiabas é unha política do cliente e da plataforma, e un nome de protocolo nos axustes non describe que ocorre durante ese segundo.

Describe o bloqueo como un contrato sobre estados, non como unha propiedade de IKEv2 nin de On Demand.

O síntoma: a icona di conectado

Unha icona reflicte a visión que o cliente ten do seu propio estado, e esa visión pode quedar atrás respecto da realidade durante o tempo dunha reconexión. Unha páxina na caché, unha reconexión rápida ou unha actualización de estado ocultan o intervalo. A pregunta que paga a pena non é se a icona estaba verde, senón que permitiu o dispositivo mentres o túnel estaba ausente. O mesmo atraso explica por que unha captura de pantalla da aplicación é unha proba tan feble: rexistra un estado, non unha transición.

Esa pregunta só ten resposta se a política a define.

Que mantén realmente o protocolo

IKEv2 mantén e renova unha relación IPsec autenticada, e as funcións de mobilidade axudan a restablecela tras un cambio de enderezo. Iso é unha afirmación sobre o ciclo de vida do túnel. Non di nada sobre o permiso do iPhone para enviar outro tráfico no oco, porque ese permiso pertence á plataforma e ao cliente, non ao intercambio de chaves. Un dispositivo que se reconecta en menos dun segundo tivo igualmente unha ventá, e é nesa ventá onde vive o comportamento interesante.

On Demand é igualmente unha descrición do comportamento de activación, non unha garantía universal de bloqueo.

Que ofrece a plataforma a un desenvolvedor

Network Extension de Apple expón controis de alcance do tráfico, e a súa guía de encamiñamento distingue o comportamento de incluír todas as redes das rutas incluídas ordinarias e enumera as excepcións do sistema. Tamén existe un modelo de despregamento Always On supervisado, separado do axuste de conexión automática dunha aplicación persoal. Que unha aplicación concreta use algo diso é unha propiedade da aplicación, non do protocolo que fala.

O nome dun interruptor non é proba de que API chama a aplicación.

Le a función como un contrato

Pide ao provedor que especifique cinco estados: activación inicial, perda inesperada do túnel, desconexión deliberada, saída da aplicación e reinicio do dispositivo. Pon as excepcións do sistema e calquera acceso intencionado á LAN xunto a esa lista. Despois pregunta se a función é opcional, imposta pola xestión ou condicionada a un modo de cliente, porque unha pausa elixida polo usuario e un bloqueo imposto por unha organización son produtos distintos. Escribe esas cinco respostas no rexistro de despregamento, porque o seguinte revisor fará exactamente esas preguntas.

Unha función que bloquea ante unha perda inesperada pero non ante unha desconexión deliberada é un deseño coherente. Simplemente non é o que describía a páxina de márketing.

Como probar os ocos

Proba unha transición cada vez con tráfico inofensivo, na aplicación e na familia de enderezos que che interese. Confirma que se permitiu durante o oco, non que mostrou a icona despois. Rexistra a versión do cliente e a política xunto ao resultado, porque ambos cambian e ningún se ve desde a pantalla de axustes do teléfono. É a única forma de separar un oco real dunha icona lenta.

Se a resposta importa para o cumprimento, pídea por escrito en lugar de deducila dunha etiqueta de produto.