iPhone VPN 아이콘 켜짐: 모든 앱을 덮는가, 아니면 그냥 동작하는가?

배지가 나타나고, 앱은 여전히 집에 있는 것처럼 동작하며, 당연한 결론은 터널이 고장 났다는 것이다. 보통은 아무것도 고장 나지 않았다. 배지는 하나의 연결을 보고하지만 그 뒤의 질문은 적용 범위에 관한 것이며, 이 둘은 다른 주장이다.

어떤 주장을 할 수 있는지는 세 가지 조건이 결정한다. 그것이 정리되기 전까지는 어떤 시험 결과도 모호하다.

하나의 아이콘 뒤에 세 가지 답이 숨어 있다

첫 번째 질문은 터널이 무엇을 하기를 원했는가이다. 사내 위키에 도달하는 것, 스트리밍 서비스에서 내 주소를 숨기는 것, 관리되는 앱 하나를 보호하는 것은 서로 다른 세 가지 요구이며, 서로 다른 세 프로파일이 이를 충족한다.

두 번째는 그 프로파일을 누가 소유하는가이다. 개인이 직접 설치한 구성은 관리 시스템이 밀어 넣은 구성과 다르게 동작하며, iOS가 적용하는 앱별 규칙을 실을 수 있는 것은 후자뿐이다. 배지는 그 둘을 구별하지 못한다.

세 번째는 어느 주소 체계 위에 서 있는가이다. 네트워크가 IPv6를 나눠 주는데 터널이 IPv4만 운반하면 한 경로가 터널 밖에 남는다. IPv4 사이트에만 도달하는 시험으로는 그것을 결코 볼 수 없다.

앱별 프로파일은 해당 앱만 덮는다

앱별 VPN은 오경보를 가장 많이 만드는 사례다. 프로파일은 트래픽이 터널로 들어가는 앱을 지정하고, 나머지는 설계대로 로컬 네트워크로 계속된다. 따라서 브라우저에서 공인 주소가 그대로인 것은 예상된 동작이지 실패의 증거가 아니다. 상태 표시줄의 어떤 것도 이를 반박하지 않는다.

프로파일이 만들어진 앱을 시험하고, 내부에만 존재하는 자원에 대해 시험하라. 지정된 앱에서 내부 요청이 성공하면 구성이 동작하는 것이다. 그다음 Safari에서 평범한 공인 주소가 보인다면 앱별 프로파일은 설정된 대로 정확히 동작하고 있는 것이다.

요청 시 규칙은 관찰 대상을 바꾼다

요청 시 구성은 연결이 언제 수립되는지를 결정하지, 트래픽이 덮이는지를 결정하지 않는다. 특정 도메인이 요청될 때 터널을 올리고 요청이 끝나면 내리는 규칙도 있으므로, 일상 사용 중 배지가 나타났다 사라지는 것은 설계가 동작하는 모습이다. 배지를 해석하기 전에 규칙을 읽어야 한다.

이 동작은 하루 동안 일관되지 않아 보이는 결과도 설명한다. 같은 앱이 오전 열 시에는 터널을 지나고 정오에는 직접 연결될 수 있는데, 바뀐 것은 정책이 아니라 트리거 조건이다.

한 번의 점검은 적용 범위의 증거가 아니다

브라우저 점검 한 번은 요청 하나가 경로 하나를 지났음을 증명할 뿐이다. 자체 네트워크 스택을 가진 두 번째 앱, 터널이 올라오기 전에 실행된 백그라운드 동기화, 오래된 소켓이 다시 수립되지 않아 네트워크 변경을 버텨낸 연결에 대해서는 아무 말도 하지 않는다. 그 틈은 범위의 문제이지 유출이 아니다.

네 번째 줄만이 결함을 가리킨다. 이름 확인이 깨진 채 연결된 터널, 돌아오는 경로가 없는 경우, 서비스가 그저 중단된 경우는 앱의 관점에서 모두 똑같아 보인다.

에스컬레이션 전에 기록할 것

프로파일 이름, 관리 시스템에서 왔는지, 앱별 규칙이 있는지, 실패한 요청의 정확한 시각을 적어라. 시험한 주소 체계와 어느 앱에서 시험했는지도 더하라. 화면의 어떤 숫자도 그 목록을 대신하지 못한다. 그 기록이 한 번의 왕복으로 적용 범위의 질문과 장애를 구분해 준다.

보안의 기본도 놓치지 말아야 한다. 터널은 인증서 검증, 계정 보호, 기기 권한을 대신하지 않는다. 네트워크 상태 옆에 아이콘이 나타난다고 해서 그것들이 설정되어 있다는 증거는 아니며, 그렇게 받아들이는 것이 바로 배지 하나로 프라이버시를 주장하는 방식이다.

Apple의 VPN 배포 개요는 이러한 차이의 배경이 되는 프로파일 유형과 요청 시 동작을 설명한다. 프로파일이 무엇을 덮어야 하는지로 관리 시스템과 논쟁하기 전에 읽어 보라.