iPhone の VPN を常時オンにすべきか？二つの要件が決める

二人の利用者が同じ VPN プロファイルを一日中オンにしたまま、そこから得る価値は異なります。一人は何も考えずに社内の業務アプリに到達し、もう一人は主に習慣で個人用トンネルを動かし続けています。どちらもステータスバーに同じ表示が出ますが、その表示だけが二つの運用に共通する唯一のものです。

判断すべきは、常時接続がより安全に感じられるかどうかではありません。どの要件に対して費用を払うのか、ゲートウェイに到達できないときクライアントがどう振る舞うのか、選んだ事業者がどれだけの通信を見られるのか、という三点です。この三つに答えたなら、その切り替えは好みの問題ではなくなります。

一つのアイコンを共有する二つの仕事

第一の仕事はアクセスであり、特定の私的リソース群はアプリを開いたとき、どこにいても到達できるべきです。第二の仕事はカバレッジであり、本来なら未知のネットワークを渡る通信を、信頼するサービスから出すようにします。

この二つは異なる設定を指します。アクセスは、一つの社内アプリのために全トンネルを使うとそれ以外のすべてが想定外のネットワークを通ることになるため、機能する最小の範囲を求めます。カバレッジは、一部のアプリだけを運ぶトンネルが残りをまさに心配していたネットワーク上に露出させるため、許容できる最大の範囲を求めます。設定を誤った端末の多くは両者の混合になり、だからこそプロファイルを選ぶ前に要件を言葉にする必要があります。

私的な業務アクセス：範囲が常時接続に勝る

目的が社内アプリへの到達なら、有用な問いはトンネルがいつ有効になるかであり、オンであり続けるかではありません。アプリ単位の管理構成では、そのアプリの通信だけをゲートウェイ経由で送れます。私的な閲覧は通常の経路に、業務の通信は承認された経路に保たれます。これは全トンネルとは別の形の制御であり、表示の意味を変えます。アプリ単位の範囲では、業務アプリがサービスに到達していてもアイコンが出ないことがあります。

その範囲は配備の所有者が決める方針であり、アプリの挙動から推測できる個人的な好みではありません。クライアントの設定画面は、プラットフォームの複数の仕組みのどれが有効かを常に示すわけではなく、ラベルは誤解を招く形で重なっています。

Apple の文書は、条件付きの有効化、アプリ単位の選択、管理された常時接続の挙動を区別しています。第三者のクライアントの自動接続スイッチは、それ自体ではどの分類にも属さないため、同等に聞こえるラベルを管理された性質の約束として読むべきではありません。

実務的な確認は、社内だと分かっているサービスへの要求を、トンネルを意図的に切って行うことです。それが成功するなら、トンネルは思っているような制御ではなく、残りの設定は頼る前に見直す価値があります。

覆われた閲覧：失敗時の方針こそが製品

目的が未知のネットワークでのカバレッジなら、製品の興味深い部分は接続ではなく切断です。どちらも自動接続する二つのクライアントは、ゲートウェイが拒否した瞬間やネットワークが遮断した瞬間にまったく違う振る舞いをし得ます。

遮断の方針は、トンネルを確立できない間、覆われた通信を使えなくする、カバレッジの最も強い形であり、最も厄介でもあります。障害が自分の障害になり、キャプティブポータルは、通過させてくれるはずのページへ進めない壁になります。

フォールバックの方針は、通信に通常の経路を取らせることでオンラインを保ちます。より使いやすく、定義上は弱いものです。トンネルが失敗するまさにその瞬間が、いるネットワークを通って暗号化されずに通信が出ていく瞬間だからです。通信はそれでも外に出て、信頼していなかったネットワーク上で出ていきます。それがトレードオフであり、宣伝抜きで言えばそうなります。

どちらも間違いではなく、誤りは旅行中にどちらを買ったのかを知ることです。自宅で試してください。トンネルの接続機能を切り、ページが読み込めるかを見るのです。その一つの実験は、事業者の宣伝ページのどんな説明よりも多くを教えてくれます。

トンネルが直さないもの

通信を一つの事業者経由にすると、その事業者はあなたの接続経路に位置を得ます。それは訪問先のサイトを信頼できるものにせず、HTTPS、アカウントの安全性、どのプロファイルを入れるかという注意を置き換えません。事業者のネットワークで終わるトンネルは、誰が何を見られるかの変化であり、問いの除去ではありません。

同じことはローカルネットワークにも当てはまります。VPN は通信をホテルのアクセスネットワークから遠ざけられますが、そのネットワークがトンネル自体を遮断したり、トンネルが存在する前に名前解決へ干渉したりするのを止められません。

性能とバッテリーは同じく正直な観察の範疇です。表示に固定の罰則が付いているわけではなく、ゲートウェイが取る経路、アクセスネットワークの品質、通信量、再接続の頻度がすべて数値を動かします。同じ使い方で二つの設定を比べることだけが意味のある測定です。

実際に持っている端末に合わせて選ぶ

個人の端末では、自分の要件に合う挙動を選び、受け入れた失敗時の方針を書き留めてください。遮断付きのカバレッジを選んだなら別の端末から事業者の状態ページに到達する手段を残し、フォールバックを選んだならトンネルの失敗は設計上黙っているのだと知っておいてください。

管理された業務端末では、管理者の方針が答えであり、一時停止の制御がないのは通常、回避すべき見落としではなく意図的です。通常の経路で例外を求めるほうが、次のプロファイル更新で消える抜け道を探すより速いのです。

いずれにせよ、目的が変わったら判断を見直してください。一つの社内アプリ向けに設定したトンネルは終日閲覧のカバレッジには向かず、一つのアプリのために保持した全トンネルのプロファイルは、渡すつもりのなかった多くの通信を静かに移しています。