Skal VPN-en på iPhone være på hele tiden? To krav avgjør

To personer lar den samme VPN-profilen være på hele dagen og får ulik nytte av den. Den ene når en privat arbeidsapplikasjon uten å tenke over det; den andre holder en personlig tunnel i gang mest av vane. Begge ser den samme indikatoren i statuslinjen, og den indikatoren er det eneste de to ordningene har til felles.

Beslutningen handler ikke om hvorvidt vedvarende dekning føles tryggere. Den handler om hvilket krav du betaler for, hva klienten gjør når gatewayen ikke er tilgjengelig, og hvor mye av trafikken din den valgte operatøren kan se. Svar på de tre, og bryteren slutter å være en smakssak.

To jobber som deler ett ikon

Den første jobben er tilgang: et bestemt sett private ressurser bør være tilgjengelig når du åpner appen, uansett hvor du er. Den andre jobben er dekning: trafikk som ellers ville krysse et ukjent nettverk, bør i stedet gå ut gjennom en tjeneste du stoler på.

De peker mot ulike konfigurasjoner. Tilgang vil ha det smaleste omfanget som fortsatt virker, fordi en full tunnel for én intern applikasjon sender alt annet gjennom et nettverk som aldri var dimensjonert for det. Dekning vil ha det bredeste omfanget du kan tolerere, fordi en tunnel som bare bærer noen applikasjoner, lar resten stå eksponert på nettopp det nettverket du var bekymret for. De fleste feilkonfigurerte telefoner ender som en blanding av begge, derfor må kravet navngis før profilen velges.

Privat jobbtilgang: omfang slår varighet

Hvis målet er å nå en intern applikasjon, er det nyttige spørsmålet når tunnelen aktiveres, ikke om den blir stående. En administrert ordning per app kan sende bare den applikasjonens trafikk gjennom gatewayen, noe som holder privat surfing på den vanlige veien og arbeidstrafikk på den godkjente. Det er en annen form for kontroll enn en full tunnel, og det endrer hva indikatoren betyr. Med omfang per app kan ikonet mangle mens arbeidsappen fortsatt når tjenesten sin.

Det omfanget er en politikkgjørelse fra den som eier utrullingen, ikke en personlig preferanse du kan utlede av appens oppførsel. Klientens innstillingsskjermer avslører ikke alltid hvilken av plattformens flere mekanismer som er i kraft, og etikettene overlapper på måter som villeder.

Apples dokumentasjon skiller mellom betinget aktivering, valg per app og administrert alltid-på-atferd. En tredjepartsklients bryter for automatisk tilkobling tilhører ikke i seg selv noen av disse kategoriene, så en etikett som høres likeverdig ut bør ikke leses som et løfte om den administrerte egenskapen.

Den praktiske sjekken er en forespørsel til en tjeneste du vet er intern, gjort med tunnelen bevisst slått av. Hvis den lykkes, er ikke tunnelen den kontrollen du tror, og resten av konfigurasjonen fortjener et nytt blikk før du regner med den.

Dekket surfing: feilpolitikken er produktet

Hvis målet er dekning på ukjente nettverk, er den interessante delen av produktet ikke tilkoblingen, men frakoblingen. To klienter som begge kobler til automatisk, kan oppføre seg helt ulikt i det øyeblikket gatewayen avviser eller nettverket blokkerer den.

En blokkeringspolitikk gjør dekket trafikk utilgjengelig så lenge tunnelen ikke kan etableres. Det er den sterkeste versjonen av dekning og den mest forstyrrende: et avbrudd blir ditt avbrudd, og en captive portal blir en vegg du ikke kommer forbi for å nå siden som ville slippe deg gjennom.

En reservepolitikk holder deg på nett ved å la trafikken ta den vanlige veien. Det er mer brukbart og svakere per definisjon, fordi det nøyaktige øyeblikket tunnelen svikter, er det øyeblikket trafikken går ut ukryptert gjennom det nettverket du er på. Trafikken går fortsatt ut, og den går ut på nettverket du ikke stolte på. Det er byttet, sagt uten markedsføringen.

Ingen av dem er feil, og feilen er å oppdage under en reise hvilken du kjøpte. Test det hjemme: slå av tunnelens evne til å koble til, og se deretter om sider lastes. Det ene eksperimentet forteller deg mer enn noen beskrivelse på en leverandørs markedsføringsside.

Det tunnelen ikke reparerer

Å rute trafikk gjennom én operatør gir den operatøren en posisjon i tilkoblingsveien din. Det gjør ikke nettstedene du besøker pålitelige, og det erstatter ikke HTTPS, kontosikkerhet eller omtanken for hvilke profiler du installerer. En tunnel som ender i en leverandørs nettverk, er en endring av hvem som kan observere hva, ikke en fjerning av spørsmålet.

Det samme gjelder det lokale nettverket. En VPN kan holde trafikken din unna et hotels tilgangsnettverk, og den kan ikke hindre det nettverket i å blokkere selve tunnelen eller forstyrre navneoppslaget før tunnelen finnes.

Ytelse og batteri hører til i samme kategori av ærlig observasjon. Det er ingen fast straff knyttet til indikatoren; ruten gatewayen tar, kvaliteten på tilgangsnettverket, mengden trafikk og hyppigheten av gjenoppkoblinger flytter alle tallet. Å sammenligne to konfigurasjoner under samme bruk er den eneste målingen som betyr noe.

Velg for enheten du faktisk har

På en personlig telefon velger du atferden som passer til kravet ditt, og skriver ned feilpolitikken du har godtatt. Hvis du valgte dekning med blokkering, behold en måte å nå leverandørens statusside fra en annen enhet; hvis du valgte reserve, vit at tunnelens svikt er stille av design.

På en administrert jobbtelefon er svaret administratorens policy, og fraværet av en pausekontroll er vanligvis bevisst og ikke en forglemmelse som skal omgås. Å be om et unntak gjennom den vanlige kanalen er raskere enn å finne en omvei som neste profiloppdatering fjerner.

Uansett bør du vurdere beslutningen på nytt når formålet endres. En tunnel konfigurert for én intern applikasjon passer dårlig til dekning for surfing på heltid, og en fulltunnelprofil som holdes for én enkelt app, flytter stille mye trafikk du aldri mente å overlevere.