Tenere sempre attiva la VPN dell’iPhone? Due requisiti decidono

Due persone lasciano lo stesso profilo VPN attivo tutto il giorno e ne ricavano un valore diverso. Una raggiunge un’applicazione di lavoro privata senza pensarci; l’altra tiene in funzione un tunnel personale soprattutto per abitudine. Entrambe vedono lo stesso indicatore nella barra di stato, e quell’indicatore è l’unica cosa che i due assetti condividono.

La decisione non riguarda se la copertura continua sembri più sicura. Riguarda quale requisito stai pagando, cosa fa il client quando il gateway non è raggiungibile e quanto del tuo traffico può vedere l’operatore scelto. Rispondi a queste tre e l’interruttore smette di essere una questione di gusto.

Due compiti che condividono un’icona

Il primo compito è l’accesso: un insieme preciso di risorse private dovrebbe essere raggiungibile quando apri l’applicazione, da qualunque posto ti trovi. Il secondo compito è la copertura: il traffico che altrimenti attraverserebbe una rete sconosciuta dovrebbe uscire invece da un servizio di cui ti fidi.

Puntano a configurazioni diverse. L’accesso vuole la portata più stretta che funziona ancora, perché un tunnel completo per una sola applicazione interna manda tutto il resto attraverso una rete che non è mai stata dimensionata per questo. La copertura vuole la portata più ampia che riesci a tollerare, perché un tunnel che trasporta solo alcune applicazioni lascia il resto esposto proprio sulla rete che ti preoccupava. La maggior parte dei telefoni mal configurati finisce con un misto delle due, perciò il requisito va nominato prima di scegliere il profilo.

Accesso privato al lavoro: la portata batte la permanenza

Se l’obiettivo è raggiungere un’applicazione interna, la domanda utile è quando il tunnel si attiva, non se resta attivo. Un assetto gestito per applicazione può inviare solo il traffico di quell’applicazione attraverso il gateway, il che mantiene la navigazione personale sul percorso ordinario e il traffico di lavoro su quello approvato. È una forma di controllo diversa da un tunnel completo, e cambia ciò che significa l’indicatore. Con la portata per applicazione, l’icona può mancare mentre l’applicazione di lavoro raggiunge comunque il suo servizio.

Quella portata è una decisione di politica presa da chi possiede la distribuzione, non una preferenza personale che puoi dedurre dal comportamento dell’applicazione. Le schermate delle impostazioni del client non rivelano sempre quale dei diversi meccanismi della piattaforma sia in vigore, e le etichette si sovrappongono in modi che ingannano.

La documentazione di Apple distingue l’attivazione condizionale, la selezione per applicazione e il comportamento gestito sempre attivo. L’interruttore di connessione automatica di un client di terze parti non appartiene di per sé a nessuna di queste categorie, quindi un’etichetta che suona equivalente non va letta come una promessa della proprietà gestita.

La verifica pratica è una richiesta a un servizio che sai interno, fatta con il tunnel deliberatamente spento. Se riesce, il tunnel non è il controllo che pensi, e il resto della configurazione merita un secondo sguardo prima che tu ci faccia affidamento.

Navigazione coperta: la politica di errore è il prodotto

Se l’obiettivo è la copertura su reti sconosciute, la parte interessante del prodotto non è la connessione ma la disconnessione. Due client che si connettono automaticamente possono comportarsi in modo del tutto diverso nel momento in cui il gateway rifiuta o la rete lo blocca.

Una politica di blocco rende il traffico coperto non disponibile finché il tunnel non può essere stabilito. È la versione più forte della copertura e la più dirompente: un’interruzione diventa la tua interruzione, e un portale captive diventa un muro che non puoi superare per raggiungere la pagina che ti lascerebbe passare.

Una politica di ripiego ti tiene online lasciando che il traffico prenda il percorso ordinario. È più utilizzabile e più debole per definizione, perché il momento esatto in cui il tunnel fallisce è il momento in cui il traffico esce senza cifratura attraverso qualunque rete tu sia. Il traffico esce comunque, ed esce sulla rete di cui non ti fidavi. Questo è lo scambio, detto senza il marketing.

Nessuna delle due è sbagliata, e l’errore è scoprire durante un viaggio quale hai comprato. Provalo a casa: disattiva la capacità del tunnel di connettersi, poi guarda se le pagine si caricano. Quell’unico esperimento ti dice più di qualsiasi descrizione sulla pagina marketing di un fornitore.

Ciò che il tunnel non risolve

Instradare il traffico attraverso un solo operatore dà a quell’operatore una posizione nel tuo percorso di connessione. Non rende affidabili i siti che visiti e non sostituisce HTTPS, la sicurezza dell’account o la cura su quali profili installi. Un tunnel che termina nella rete di un fornitore è un cambiamento di chi può osservare cosa, non la rimozione della domanda.

Lo stesso vale per la rete locale. Una VPN può tenere il tuo traffico lontano dalla rete di accesso di un albergo, e non può impedire a quella rete di bloccare il tunnel stesso o di interferire con la risoluzione dei nomi prima che il tunnel esista.

Prestazioni e batteria appartengono alla stessa categoria di osservazione onesta. Non c’è una penalità fissa legata all’indicatore; il percorso che prende il gateway, la qualità della rete di accesso, la quantità di traffico e la frequenza delle riconnessioni muovono tutti il numero. Confrontare due configurazioni con lo stesso uso è l’unica misura che significhi qualcosa.

Scegli per il dispositivo che hai davvero

Su un telefono personale, scegli il comportamento che corrisponde al tuo requisito e annota la politica di errore che hai accettato. Se hai scelto la copertura con blocco, conserva un modo per raggiungere la pagina di stato del fornitore da un altro dispositivo; se hai scelto il ripiego, sappi che l’errore del tunnel è silenzioso per progetto.

Su un telefono di lavoro gestito, la risposta è la politica dell’amministratore, e l’assenza di un controllo di pausa è di solito deliberata più che una svista da aggirare. Chiedere un’eccezione attraverso il canale normale è più veloce che trovare un aggiramento che il prossimo aggiornamento del profilo rimuoverà.

In ogni caso, rivedi la decisione quando lo scopo cambia. Un tunnel configurato per una sola applicazione interna si adatta male a una copertura di navigazione a tempo pieno, e un profilo a tunnel completo tenuto per una singola applicazione sposta silenziosamente molto traffico che non avevi mai intenzione di consegnare.