VPN באייפון אחרי הפעלה מחדש: מה צריך לקרות קודם
הפכו את „להשאיר את ה-VPN דלוק“ לדרישת אתחול: מה מתחבר, מה עדיין דורש אתכם ומה נחסם לפני שהמשימה המוגנת הראשונה רצה.
„להשאיר את ה-VPN דלוק“ שורד כשלושים שניות של שאלות. דלוק אחרי הפעלה מחדש? דלוק לפני שאתם פותחים את נעילת הטלפון? דלוק בזמן שה-Wi-Fi עדיין מציג דף התחברות? לחסום תעבורה עד שהמנהרה עולה, או לתת לאפליקציה הראשונה לנסות ישירות? אלה ארבע דרישות שונות, ורק חלקן הן דברים שאפשר להגדיר בטלפון כך שיבטיח. כתבו את התשובה כציר זמן עם שלבים, ואז בדקו כל שלב אחרי הפעלה מחדש אמיתית.
| Stage | Personal profile | Supervised Always On |
|---|---|---|
| Before first unlock | do not assume a tunnel | do not assume a tunnel either |
| After unlock, network up | depends on the provider or On Demand rule | activates without user interaction |
| Tunnel negotiating | first app may already be trying | policy decides whether traffic waits |
| Gateway unreachable | usually falls back to whatever the client allows | follows the deployed policy |
כתבו את הדרישה כציר זמן
התחילו ברגע שחשוב לעסק: איזו משימה מוגנת אסור שתקרה בלי מנהרה, וכמה זמן אחרי האתחול מנסים אותה בפועל. כל מה שלפני הרגע הזה הוא רצף, והרצף הוא מה שאתם מאמתים. הערה „ה-VPN חייב להיות דלוק“ אי אפשר לבדוק, ואילו „אין תעבורה לשרת הרשומות לפני שהמנהרה נוצרת“ אפשר לבדוק.
אחר כך הפרידו בין מה שטלפון אישי יכול לעשות לבין מה שצבר מכשירים מנוהל יכול לעשות, כי שתי התשובות אינן חלופיות.
שלב ראשון: המצב לפני הפתיחה הראשונה
אל תסיקו את ההתנהגות לפני הפתיחה ממנהרה שראיתם אחרי הפתיחה. הבדיקה הכנה היא להפעיל מחדש, להשאיר את הטלפון נעול, ולצפות מהצד השני אם נוצרת מנהרה. ברוב הסידורים האישיים התשובה תהיה לא, וזו אינה תקלה; היא רק אומרת שאסור לנסות את המשימה המוגנת הראשונה לפני שהטלפון נפתח.
אם דרישה באמת תלויה בכיסוי לפני הפתיחה, הביאו אותה לבעל הפריסה ולא להגדרה בלקוח.
שלב שני: מוכנות הרשת ופורטלים להתחברות
Always On מנוהל מופעל בלי התערבות משתמש ונשמר לאורך הפעלות מחדש כל עוד הפרופיל שלו מותקן, וההקמה מגיעה לאחר שהממשק משיג נגישות IP. המשפט האחרון הוא החשוב: לטלפון שעוד לא קיבל כתובת אין על מה לבנות. פורטל מלון שלא התקבל הוא רשת שאינה מוכנה בדיוק במובן הזה, וכל העדפת VPN זכורה לא משלימה אותו בשבילכם.
לכן הערת הקבלה צריכה שורה למקרה הפורטל. או שהטלפון ממתין, או שמשתמש עובר קודם דרך הפורטל, ומה מקובל תלוי במי שנוסע. כתבו את הבחירה, כי האדם שמפעיל מחדש בשבע בבוקר לא ימציא אותה. פורטל שדורש מספר חדר הוא גם מקרה אחר מזה שמקבל רק תיבת סימון.
שלב שלישי: אימות שעדיין דורש אדם
הפעלה אוטומטית ואימות אוטומטי הם יכולות נפרדות. פרופיל עם אישור מכשיר יכול להשלים את השנייה בלי אדם, ואילו שער שדורש גורם חד-פעמי לא יכול, ושום מדיניות לא תגרום לכך. קבעו איזה משניהם אתם פורסים לפני שאתם מבטיחים רצף אתחול בלי ידיים.
אחר כך תעדו את המצב הביניים במפורש: אם האימות תלוי ועומד, האם התעבורה נחסמת, נכנסת לתור או נשלחת ישירות? התשובה שייכת לתוכנית, כי זה החלון שבו תצורה שגויה הופכת לדליפה. בדקו זאת על ידי הפיכת השער לבלתי נגיש והתבוננות במה שהטלפון עושה, ולא בקריאת התיאור שהלקוח נותן על עצמו.
שלב רביעי: המשימה המוגנת הראשונה, ואחר כך מעבר
אחרי ההפעלה המתוכננת פתחו את המשימה המוגנת ואשרו שהיא מצליחה ושבאמת השתמשה במנהרה. אחר כך חזרו על אותה משימה במעבר מ-Wi-Fi לרשת סלולרית, כי המעבר הזה מנהל מחדש את הרשת שמתחת וזה המקום שבו פרופיל שעבד רק באתחול מתחיל להיכשל. תעדו שלוש עובדות לכל הרצה: אם החיבור עלה אוטומטית, אם הייתם חייבים לאמת, ואם המשאב הצפוי ענה.
אם ההגנה בזמן הפער היא חובה, השתמשו בשיטת האימות שבעל הפריסה מאשר. טעינת עמוד מוצלחת אחת לא יכולה להראות ששום דבר לא עבר ישירות לפניה.