iPhone-VPN na een herstart: wat er eerst moet gebeuren
Maak van „de VPN aan laten“ een opstarteis: wat verbindt, wat heeft nog een mens nodig en wat wordt geblokkeerd voordat de eerste beschermde taak loopt.
„De VPN aan laten“ overleeft ongeveer dertig seconden ondervraging. Aan na een herstart? Aan voordat je de telefoon ontgrendelt? Aan terwijl de Wi-Fi nog een inlogpagina toont? Verkeer blokkeren tot de tunnel staat, of de eerste app direct laten proberen? Dat zijn vier verschillende eisen, en slechts enkele ervan kun je een telefoon zo configureren dat ze gegarandeerd worden. Schrijf het antwoord als een tijdlijn met fasen en controleer daarna elke fase na een echte herstart.
| Stage | Personal profile | Supervised Always On |
|---|---|---|
| Before first unlock | do not assume a tunnel | do not assume a tunnel either |
| After unlock, network up | depends on the provider or On Demand rule | activates without user interaction |
| Tunnel negotiating | first app may already be trying | policy decides whether traffic waits |
| Gateway unreachable | usually falls back to whatever the client allows | follows the deployed policy |
Schrijf de eis als een tijdlijn
Begin bij het moment dat voor het bedrijf telt: welke beschermde taak mag niet zonder tunnel gebeuren, en hoe lang na het opstarten wordt die taak realistisch geprobeerd. Alles vóór dat moment is een reeks, en juist die reeks verifieer je. Een notitie „de VPN moet aan staan“ kun je niet testen, „geen verkeer naar de registratiehost voordat de tunnel staat“ wel.
Scheid daarna wat een persoonlijke telefoon kan van wat een beheerde vloot kan, want die twee antwoorden zijn niet uitwisselbaar.
Stap een: de toestand vóór de eerste ontgrendeling
Leid gedrag vóór de ontgrendeling niet af uit een tunnel die je na de ontgrendeling zag. De eerlijke test is herstarten, de telefoon vergrendeld laten en vanaf de andere kant kijken of er überhaupt een tunnel ontstaat. Bij de meeste persoonlijke opstellingen is het antwoord nee, en dat is geen fout; het betekent alleen dat de eerste beschermde taak niet mag worden geprobeerd voordat de telefoon is ontgrendeld.
Als een eis echt afhangt van dekking vóór de ontgrendeling, breng hem dan naar de eigenaar van de uitrol en niet naar een instelling in de client.
Stap twee: netwerkgereedheid en inlogportalen
Beheerde Always On activeert zonder gebruikersinteractie en blijft over herstarts heen bestaan zolang het profiel is geïnstalleerd, en de totstandkoming volgt zodra de interface IP-bereikbaarheid krijgt. Die laatste zin is de belangrijke: een telefoon die nog geen adres heeft, heeft niets om op te bouwen. Een hotelportaal dat niet is geaccepteerd, is precies in die zin een netwerk dat niet klaar is, en geen enkele onthouden VPN-instelling maakt dat voor je af.
De acceptatienotitie heeft dus een regel nodig voor het portalgeval. Ofwel de telefoon wacht, ofwel een gebruiker tikt eerst door het portaal, en welke van de twee acceptabel is, hangt af van wie reist. Schrijf de keuze op, want de persoon die om zeven uur in de ochtend herstart, verzint hem niet. Een portaal dat een kamernummer eist, is ook een ander geval dan een dat alleen een selectievakje accepteert.
Stap drie: authenticatie die nog een mens nodig heeft
Automatische activering en automatische authenticatie zijn gescheiden vermogens. Een profiel met een apparaatcertificaat kan het tweede zonder mens afronden, terwijl een gateway die een eenmalige factor eist dat niet kan, en geen enkel beleid maakt dat mogelijk. Stel vast welke van de twee je uitrolt voordat je een handsfree opstartreeks belooft.
Noteer daarna de tussenstand expliciet: als de authenticatie nog loopt, wordt het verkeer geblokkeerd, in de wachtrij gezet of direct verzonden? Het antwoord hoort in het plan, want dat is het venster waarin een verkeerde configuratie een lek wordt. Test het door de gateway onbereikbaar te maken en te kijken wat de telefoon doet, in plaats van de beschrijving te lezen die de client van zichzelf geeft.
Stap vier: de eerste beschermde taak, daarna een overgang
Open na de geplande herstart de beschermde taak en bevestig dat die slaagt en echt de tunnel gebruikte. Herhaal daarna dezelfde taak tijdens een overgang van Wi-Fi naar mobiel, want die verplaatsing onderhandelt opnieuw over het onderliggende netwerk en daar begint een profiel dat alleen bij het opstarten werkte te falen. Noteer drie feiten per run: of de verbinding automatisch tot stand kwam, of je moest authenticeren en of de verwachte resource antwoordde.
Als bescherming tijdens het gat verplicht is, gebruik dan de verificatiemethode die de eigenaar van de uitrol goedkeurt. Eén geslaagde paginalading kan niet aantonen dat er daarvoor niets direct ging.