Kunci VPN iPhone anda ialah dasar, bukan protokol

Ikon VPN menunjukkan bersambung, terowong terputus seketika semasa perubahan rangkaian, dan trafik yang sepatutnya disekat keluar melalui selular. Tiada apa-apa pada antara muka mengumumkan jurang. Ciri yang anda bergantung padanya ialah dasar klien dan platform, dan nama protokol dalam tetapan tidak menerangkan apa yang berlaku dalam saat itu.

Huraikan kunci itu sebagai kontrak tentang keadaan, bukan sebagai sifat IKEv2 atau On Demand.

Gejalanya: ikon berkata bersambung

Ikon mencerminkan pandangan klien tentang keadaannya sendiri, dan pandangan itu boleh ketinggalan daripada realiti selama tempoh sambung semula. Halaman yang dicache, sambung semula pantas atau penyegaran status semuanya menyembunyikan selang itu. Soalan yang wajar ditanya bukanlah sama ada ikon itu hijau, tetapi apa yang dibenarkan peranti semasa terowong tiada. Kelewatan yang sama menjelaskan mengapa tangkapan skrin aplikasi begitu lemah sebagai bukti: ia merekodkan keadaan, bukan peralihan.

Soalan itu hanya mempunyai jawapan jika dasar mentakrifkannya.

Apa yang sebenarnya dikekalkan oleh protokol

IKEv2 mengekalkan dan memperbaharui hubungan IPsec yang disahkan, dan ciri mobiliti membantu memulihkannya selepas perubahan alamat. Itu satu pernyataan tentang kitaran hayat terowong. Ia tidak mengatakan apa-apa tentang kebenaran iPhone menghantar trafik lain dalam jurang itu, kerana kebenaran itu milik platform dan klien, bukan pertukaran kunci. Peranti yang bersambung semula dalam kurang daripada satu saat masih mempunyai tetingkap, dan dalam tetingkap itulah tingkah laku menarik berada.

On Demand juga merupakan huraian tingkah laku pengaktifan, bukan jaminan penyekatan sejagat.

Apa yang ditawarkan platform kepada pembangun

Network Extension daripada Apple menyediakan kawalan skop trafik, dan panduan penghalaan-nya membezakan tingkah laku menyertakan semua rangkaian daripada laluan tersenarai biasa dan menyenaraikan pengecualian sistem. Terdapat juga model penggunaan Always On yang diselia, berasingan daripada tetapan sambungan automatik aplikasi peribadi. Sama ada sesuatu aplikasi menggunakan mana-mana daripadanya ialah sifat aplikasi itu, bukan protokol yang dituturkannya.

Nama togol bukan bukti API mana yang dipanggil oleh aplikasi.

Baca ciri itu sebagai kontrak

Minta pembekal menyatakan lima keadaan: pengaktifan awal, kehilangan terowong tidak dijangka, pemutusan sengaja, keluar aplikasi dan permulaan semula peranti. Letakkan pengecualian sistem dan sebarang akses LAN yang disengajakan di sebelah senarai itu. Kemudian tanya sama ada ciri itu pilihan, dipaksa oleh pengurusan atau bergantung pada mod klien, kerana jeda yang dipilih pengguna dan kunci yang dipaksa organisasi ialah dua produk berbeza. Tulis kelima-lima jawapan itu dalam rekod penggunaan, kerana penyemak seterusnya akan bertanya soalan yang sama.

Ciri yang menyekat pada kehilangan tidak dijangka tetapi tidak pada pemutusan sengaja ialah reka bentuk yang koheren. Ia cuma bukan yang dihuraikan oleh halaman pemasaran.

Cara menguji jurang

Uji satu peralihan pada satu masa dengan trafik tidak berbahaya, dalam aplikasi dan keluarga alamat yang anda pedulikan. Sahkan apa yang dibenarkan semasa jurang, bukan apa yang ditunjukkan ikon selepas itu. Rekodkan versi klien dan dasar di sebelah hasil, kerana kedua-duanya berubah dan tiada satu pun kelihatan dari skrin tetapan telefon. Itulah satu-satunya cara memisahkan jurang sebenar daripada ikon yang perlahan.

Jika jawapannya penting untuk pematuhan, mintalah secara bertulis dan bukan menyimpulkannya daripada label produk.