סמל ה-VPN באייפון דלוק: האם הוא מכסה כל אפליקציה או רק עובד?
תג אחד, שלוש טענות שונות. הפרידו בין מה שהפרופיל מכסה, מה עושות כללי הדרישה, ואיזו משפחת כתובות בדקתם בפועל.
התג מופיע, האפליקציה עדיין מתנהגת כאילו היא בבית, והמסקנה הברורה היא שהמנהרה שבורה. בדרך כלל שום דבר אינו שבור. התג מדווח על חיבור אחד, בעוד שהשאלה שמאחוריו עוסקת בכיסוי, ואלה טענות שונות.
שלושה תנאים קובעים איזו טענה תוכלו להעלות. עד שהם ייקבעו, כל תוצאת בדיקה היא דו-משמעית.
שלוש תשובות מתחבאות מאחורי סמל אחד
השאלה הראשונה היא מה רציתם שהמנהרה תעשה. הגעה לוויקי פנימי, הסתרת הכתובת שלכם משירות סטרימינג והגנה על אפליקציה מנוהלת אחת הן שלוש דרישות שונות ששלושה פרופילים שונים מספקים.
השאלה השנייה היא למי שייך הפרופיל. תצורה שהותקנה באופן אישי מתנהגת אחרת מזו שנדחפת על ידי מערכת ניהול, ורק השנייה יכולה לשאת כללים לכל אפליקציה ש-iOS אוכף. התג אינו יכול להבדיל בין השתיים.
השאלה השלישית היא משפחת הכתובות שאתם עומדים עליה. מנהרה שנושאת IPv4 בזמן שהרשת מחלקת IPv6 משאירה נתיב אחד מחוץ למנהרה. בדיקה שמגיעה רק לאתר IPv4 לעולם לא תראה זאת.
פרופילים לכל אפליקציה מכסים רק את האפליקציות שלהם
VPN לכל אפליקציה הוא המקרה שמייצר את מרבית ההתראות הכוזבות. הפרופיל מפרט את האפליקציות שהתעבורה שלהן נכנסת למנהרה, וכל השאר ממשיך ברשת המקומית לפי התכנון. לכן העובדה שהכתובת הציבורית שלכם נשארת זהה בדפדפן היא התנהגות צפויה, לא הוכחה לכשל. שום דבר בשורת המצב אינו סותר זאת.
בדקו את האפליקציה שלשמה נבנה הפרופיל, ובדקו אותה מול משאב שקיים רק בפנים. בקשה פנימית מוצלחת מהאפליקציה הנקובה מתארת תצורה שעובדת. כתובת ציבורית רגילה ב-Safari מתארת אז פרופיל לכל אפליקציה שעובד בדיוק כפי שהוגדר.
כללי דרישה משנים את מה שאתם רואים
תצורת דרישה קובעת מתי נוצר חיבור, ולא אם התעבורה מכוסה. כלל יכול להעלות את המנהרה כשמבוקש דומיין מסוים ולהוריד אותה כשהבקשה מסתיימת, כלומר הופעת התג והיעלמותו בשימוש רגיל הם התכנון שעובד. קראו את הכללים לפני שאתם מפרשים את התג.
התנהגות זו גם מסבירה תוצאות שנראות לא עקביות לאורך היום. אותה אפליקציה יכולה לעבור במנהרה בעשר בבוקר ולהיות ישירה בצהריים, משום שתנאי ההפעלה השתנה ולא המדיניות.
בדיקה אחת אינה הוכחה לכיסוי
בדיקת דפדפן אחת מוכיחה שבקשה אחת עברה בנתיב אחד, ולא יותר. היא אינה אומרת דבר על אפליקציה שנייה עם מחסנית רשת משלה, על סנכרון רקע שרץ לפני שהמנהרה עלתה, או על חיבור ששרד שינוי רשת משום שהשקע הישן מעולם לא הוקם מחדש. הפער הזה הוא בעיית היקף, לא דליפה.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
השורה הרביעית היא היחידה שמצביעה על תקלה. מנהרה מחוברת עם פתרון שמות שבור, נתיב חזרה חסר או שירות שפשוט למטה נראים זהים מנקודת המבט של האפליקציה.
מה לתעד לפני הסלמה
רשמו את שם הפרופיל, אם הוא הגיע ממערכת ניהול, אם קיימים כללים לכל אפליקציה ואת השעה המדויקת של הבקשה שנכשלה. הוסיפו את משפחת הכתובות שבדקתם ואת האפליקציה שממנה בדקתם. שום מספר על המסך לא מחליף את הרשימה הזו. התיעוד הזה מפריד בין שאלת כיסוי לבין תקיעה בסבב אחד.
שמרו גם על יסודות האבטחה באופק. מנהרה אינה מחליפה אימות תעודות, הגנת חשבון או הרשאות מכשיר. סמל שמופיע לצד מצב הרשת אינו הוכחה שמי מהם מוגדר, וזו הדרך שבה טענת פרטיות נבנית על עוצמתו של תג.
סקירת הפריסה של VPN של Apple מתארת את סוגי הפרופילים ואת התנהגות הדרישה שמאחורי ההבדלים האלה. קראו אותה לפני שתתווכחו עם מערכת ניהול על מה פרופיל אמור לכסות.